Ledger halla un chip espía en una billetera vendida por un revendedor de Malasia

Ledger, la empresa francesa que fabrica billeteras físicas para guardar criptomonedas, confirmó el 10 de octubre que al menos uno de sus dispositivos llegó a un cliente con un implante de hardware que no salió de su fábrica. Un día después precisó que todos los casos confirmados de billeteras vaciadas tienen algo en común: los equipos se compraron a CryptoBilis, un revendedor oficial con base en Malasia que vende en el sudeste asiático.

La empresa de análisis de cadenas de bloques Bitquery calcula que los atacantes se llevaron unos 92,9 millones de dólares de 311 billeteras, y en una actualización posterior subió la cifra a 93,2 millones en 315. Ledger no adoptó esos números ni dio una cifra propia.

Un circuito escondido bajo la pantalla

Una billetera física guarda las claves que dan acceso a las criptomonedas fuera de internet. Al configurarla, la pantalla muestra una frase de recuperación de 24 palabras: quien la conoce controla los fondos. El implante apuntaba exactamente a ese momento.

Mark Karpelès, ex director ejecutivo de la plataforma Mt. Gox, abrió un equipo adulterado y publicó fotos del implante: una placa pequeña escondida debajo de la pantalla, en el lugar donde suele ir una espuma de relleno, con un microcontrolador, una antena, un módem de telefonía móvil LTE y un chip eSIM. Según Karpelès, el circuito leía lo que mostraba la pantalla y los botones que se apretaban, capturaba la frase de recuperación y la enviaba al atacante por la red celular, sin necesidad de que la billetera se conectara a nada.

El estudio Tibane Labs confirmó el hallazgo y describió dos variantes. Una reemplazaba la batería original por una más chica para hacer lugar. La otra usaba la batería original y estaba montada en una placa flexible fabricada en serie, no armada a mano. En ambas, las marcas de los componentes estaban raspadas. Según BleepingComputer, los equipos analizados son del modelo Nano X, aunque Ledger no dijo qué modelo fue afectado.

El equipo llegaba con su envoltorio intacto y pasaba la verificación de autenticidad de Ledger, porque el chip de seguridad original seguía ahí. Solo se descubre abriendo el dispositivo.

Cronología

• 16 de septiembre: según investigadores citados por BleepingComputer, desde esa fecha circulaban equipos con el implante. Se vendían a casi la mitad del precio de uno legítimo.
• 9 de octubre: usuarios del sudeste asiático empiezan a reportar billeteras vaciadas. Ledger abre una investigación y le pide a CryptoBilis que deje de vender y enviar sus dispositivos. La mayor parte de los robos se concentra entre el 9 y el 10.
• 10 de octubre: Ledger confirma que el equipo de uno de los afectados tenía "un implante de hardware no autorizado". Ese mismo día circulan las primeras estimaciones de pérdidas, de 72 a más de 90 millones de dólares.
• 11 de octubre: Ledger informa que todos los casos confirmados corresponden a equipos vendidos por CryptoBilis, que el volumen afectado es "limitado" y que sus sistemas y su venta directa no fueron comprometidos. CryptoBilis suspende la venta de todas las billeteras físicas, incluidas las de Trezor, Tangem, OneKey y SafePal. Trezor informa que no tiene reportes de equipos suyos adulterados.
• 11 y 12 de octubre: Karpelès y Tibane Labs publican los análisis del implante. Tether congela unos 10 millones de dólares en USDT en 20 direcciones vinculadas al robo. Bitquery eleva su estimación a 93,2 millones.

A dónde fue el dinero

Según Bitquery, la mayor parte salió de la red Tron, unos 70,5 millones de dólares, seguida por Bitcoin, con 16,8 millones, y Ethereum, con 3,7 millones. El resto vino de BNB Chain, Polygon y Solana. Parte de los fondos habría pasado por Tornado Cash, un servicio que mezcla transacciones para borrar su rastro, según Crypto Briefing.

Bitquery encontró movimientos de prueba en las dos semanas anteriores al vaciado principal y billeteras de víctimas que firmaron transacciones con segundos de diferencia, lo que sugiere un ataque coordinado. También señaló que más del 80 % de las billeteras vaciadas recibieron fondos por primera vez en junio o después.

Lo que todavía no se sabe

Ledger no explicó cómo funcionaba el implante ni cómo llegó al inventario del revendedor. Tampoco dijo cuántos equipos están afectados ni confirmó que todos los robos se hayan hecho con el mismo método: solo verificó el implante en un dispositivo. La empresa dice que trabaja con las autoridades para identificar a los responsables, que no fueron identificados.

Hay versiones que nadie comprobó. Changpeng Zhao, fundador de Binance, afirmó en público que los atacantes podrían haber comprado el revendedor y obligado a sus antiguos dueños a callar con un acuerdo de confidencialidad. En X circuló que también habría equipos adulterados vendidos en Europa por Mediamarkt, algo que Ledger no comentó. Y hay una diferencia de plazos: Ledger habla de equipos comprados a CryptoBilis en los últimos 90 días, pero el dato de Bitquery sobre billeteras activas desde junio sugiere que el problema podría ser más antiguo.

Karpelès no nombró a CryptoBilis: dijo que su equipo vino de una plataforma conocida, de un vendedor chino, con envío desde Malasia. Tibane Labs analizó unidades compradas en Amazon y Yahoo! Subastas de Japón. Ninguna fuente informó víctimas ni ventas en Latinoamérica.

Qué hacer si se tiene una billetera física

Ledger pidió a quienes compraron a CryptoBilis en los últimos 90 días que no configuren los equipos sin usar, y a quienes ya los configuraron, que pasen sus fondos a un dispositivo nuevo, con una frase de recuperación nueva, comprado directamente a Ledger. A los afectados les pide contactar al soporte oficial y hacer la denuncia ante la policía de su país.

La empresa también advirtió que los estafadores van a aprovechar el caso: Ledger nunca llama, nunca escribe por mensaje directo y nunca pide la frase de 24 palabras. La regla de fondo vale para cualquier marca: una billetera física se compra al fabricante o a un revendedor autorizado, y una oferta a mitad de precio es una señal de alarma.

Recursos:

• Actualización de Ledger sobre el incidente
• Revendedores autorizados de Ledger
• Canales oficiales de contacto de Ledger
• Verificación de autenticidad de Ledger (Genuine Check)