Alguien ha robado 100 millones de dólares en criptomonedas…

Robo de 100 millones de dólares en monederos Ledger por puertas traseras físicas

El 9 de octubre, usuarios de monederos Ledger en el sudeste asiático denunciaron la desaparición de sus fondos sin haber autorizado ninguna transferencia. El fabricante vinculó las pérdidas a CryptoBilis, distribuidor autorizado en Malasia, Indonesia y Filipinas. Según Bitquery, el ataque dejó unos 102 millones de dólares sustraídos de 324 monederos digitales identificados en seis redes blockchain, aunque Ledger no ha confirmado el importe total.

Las criptomonedas no se guardan dentro del dispositivo; el monedero solo custodia las claves privadas que permiten autorizar movimientos. Durante la configuración, el Ledger Nano X muestra una frase de recuperación de 24 palabras que, si se conoce, permite reconstruir las claves. El ataque se basó en una modificación que los propietarios no podían detectar a simple vista.

Investigadores de Joe Grand y Tibane Labs descubrieron que ciertos Ledger Nano X habían sido alterados con circuitos adicionales conectados al sistema que envía información a la pantalla. Al introducir la frase de recuperación, esos componentes interceptaban los caracteres y los almacenaban. Un módulo LTE, una eSIM y una antena permitían transmitir los datos a los atacantes, quienes podían recrear el acceso al monedero desde otro dispositivo.

El sistema Genuine Check de Ledger verifica la autenticidad mediante un chip de seguridad, pero no detecta componentes añadidos alrededor del chip. Si este permanece intacto, el aparato manipulado puede pasar la comprobación y funcionar con aparente normalidad, una limitación que el fabricante ha reconocido. Ledger no ha encontrado indicios de intrusión en sus sistemas internos; la evidencia apunta a manipulación física de unidades específicas.

Las señales de esta amenaza aparecieron antes del robo. En agosto de 2025, Joe Grand empezó a examinar monederos Ledger tras que un comprador en Tailandia detectara componentes extraños. En marzo de 2026, Mark Karpelès de Tibane Labs identificó versiones más sofisticadas, con cables visibles sustituidos por circuitos flexibles camuflados. La evolución indica un trabajo cada vez más elaborado, aunque no demuestra que todos los dispositivos fueran modificados por los mismos responsables.

Con la investigación aún abierta, Ledger recomendó a quienes hubieran comprado un dispositivo a CryptoBilis en los 90 días anteriores a la alerta que no iniciaran su configuración si todavía no lo habían hecho. A los que ya lo habían configurado aconsejó trasladar sus fondos a un nuevo monedero Ledger con una frase de recuperación distinta. La compañía también está revisando sus medidas contra alteraciones físicas, mientras fabricantes como Trezor han anunciado cambios preventivos en sus redes de distribución.

Hasta la fecha, nadie ha identificado públicamente a los responsables ni se conoce el número total de unidades afectadas. Ledger continúa investigando y revisando sus protocolos de seguridad para evitar que incidentes similares vuelvan a ocurrir.