Wallets de Ledger vaciados por un valor estimado de 86 M $: ¿es seguro tu Ledger tras los robos de CryptoBilis?

Los wallets de Ledger vaciados por un valor estimado de 86 M $ se convirtieron en la mayor noticia de seguridad del mundo cripto el 09/10/2026, y la primera pregunta de sus propietarios es si sus propios dispositivos están en riesgo. 

La respuesta breve de Ledger es que todos los casos confirmados afectan a dispositivos vendidos a través de un único distribuidor, CryptoBilis, en el Sudeste Asiático, y que no hay indicios de que sus propios sistemas se hayan visto comprometidos. Esa respuesta es importante porque diferencia un problema en la cadena de suministro de un vendedor de un fallo general del hardware de Ledger. Para quienes se preguntan si un Ledger es seguro, los datos útiles son de dónde procede el dispositivo, qué ha confirmado Ledger y qué solo han estimado los analistas on-chain.

¿Qué ocurrió con los robos de Ledger a través de CryptoBilis?

El viernes, 09/10, Ledger dijo que estaba investigando informes sobre la pérdida de fondos de usuarios del Sudeste Asiático que habían comprado dispositivos a CryptoBilis, un distribuidor que figuraba en el sitio web de Ledger como autorizado en Indonesia, Malasia y Filipinas. Ledger pidió a CryptoBilis que pausara todas las ventas y los envíos, indicó a quienes habían comprado dispositivos durante los 90 días anteriores que no configuraran los que estuvieran sin abrir y recomendó a quienes ya hubieran configurado uno que consideraran trasladar sus activos a un nuevo firmante con una nueva seed, según The Block y Bitcoin Magazine. Ledger también dijo a Bitcoin Magazine que el incidente parecía limitarse a este distribuidor en este mercado y que no había informes relacionados con productos comprados directamente a Ledger.

La situación se aclaró durante el fin de semana. En comunicados publicados los días 10/10 y 11, Ledger confirmó que el dispositivo de uno de los usuarios afectados contenía un implante de hardware no autorizado, afirmó que el volumen de dispositivos afectados parecía limitado, señaló que estaba trabajando con las fuerzas del orden y el grupo de seguridad SEAL 911, y pidió a CryptoBilis que dejara de vender todo su inventario de wallets de hardware, no solo los productos de Ledger, según CoinDesk y Cryptonews. CryptoBilis ha suspendido las ventas y no respondió a la solicitud de comentarios de Bitcoin Magazine.

¿Cuánto se robó y qué fiabilidad tienen las estimaciones?

Ledger no ha confirmado ninguna cifra total, y las estimaciones oscilan entre aproximadamente 72 M $ y 93 M $. El investigador tanuki42 informó primero de que se habían transferido más de 72 M $ a direcciones sospechosas de robo. Specter, otro investigador on-chain, situó la cifra por encima de 86 M $ en direcciones de Bitcoin, Ethereum y Tron. Bitquery estimó unos 92,9 M $ procedentes de 311 wallets, y Yfarmx calculó unos 93,4 M $ en 471 direcciones; Ledger no ha verificado estas cifras. Los informes ni siquiera coinciden en el número de redes implicadas, que sitúan entre 3 y 6, y Finance Magnates señala que la información disponible no demuestra que todas las transacciones incluidas en las estimaciones correspondan a clientes de CryptoBilis.

Parte del dinero ya se ha movido. TokenPost informó de que unos 2,990.3 ETH, aproximadamente 7,45 M $, se enviaron a Tornado Cash los días 09/10 y 10, y de que algunos fondos se intercambiaron por Zcash a través de NEAR Intents. PeckShield informó de que unos 3,89 M $ llegaron a direcciones de depósito de Binance en Tron durante los dos días anteriores a la alerta de Ledger del 11/10, y LearningCrypto informa de que Tether ha congelado unos 10 M $ en USDT robados. Se trata de rastreos parciales distintos y sus cifras no equivalen a una cantidad recuperada.

¿Qué ha confirmado Ledger y qué sigue sin demostrarse?

Ledger ha confirmado tres cosas: los dispositivos afectados llegaron a través de CryptoBilis, al menos uno contenía un implante de hardware no autorizado y su propia infraestructura no muestra indicios de haber sido comprometida. No ha explicado cómo entró el implante en la cadena de suministro, cómo se sustrajeron los fondos de los wallets, cuántos dispositivos están afectados ni cuál es la pérdida total. CoinDesk lo resume claramente: se encontró un implante físico, pero se desconoce cómo llegó a la cadena de suministro.

Varias afirmaciones muy difundidas van más allá de las pruebas disponibles. El exdirector de Mt. Gox, Mark Karpelès, examinó un Ledger Nano X de Malasia y dijo que encontró un módulo oculto detrás de la pantalla con un microcontrolador, hardware LTE, una antena y una eSIM. Considera que podría capturar las frases de recuperación durante la configuración y transmitirlas. Esa es su valoración, no un hallazgo confirmado, y Ledger no ha confirmado ni el modelo ni el mecanismo. También siguen sin verificarse los informes sobre un cambio de propiedad de CryptoBilis y una afirmación atribuida a Changpeng Zhao según la cual los atacantes compraron el distribuidor; Cryptonews señala que no hay pruebas concluyentes que vinculen ningún cambio de propiedad con la manipulación. Hasta que Ledger o los investigadores publiquen más información, estas cuestiones deben considerarse acusaciones.

¿Es seguro tu Ledger? Quiénes están afectados y qué hacer

Si compraste un Ledger directamente a Ledger, nada de lo informado hasta ahora lo relaciona con el incidente, y Ledger afirma que su canal de venta directa no se vio comprometido. Si lo compraste a CryptoBilis, especialmente durante los últimos 90 días, la recomendación de Ledger es tratarlo con precaución: no inicialices un dispositivo sin usar y, si ya está configurado, traslada los fondos a una nueva seed generada en un dispositivo comprado directamente a Ledger. Ledger también recomienda contactar con el soporte oficial de Ledger y presentar una denuncia ante la policía local. Además, afirma que nunca te pedirá una frase de recuperación de 24 palabras por teléfono, correo electrónico o mensaje directo. Las víctimas deberían esperar mensajes falsos de «soporte de Ledger» y contactar con Ledger únicamente a través de support.ledger.com.

Los dispositivos de otros distribuidores o marketplaces se encuentran en una situación intermedia. No hay informes que los vinculen con este incidente, pero tampoco es posible verificar desde fuera la cadena de suministro de un vendedor. LearningCrypto enumera señales de alerta que se aplican a cualquier dispositivo: una frase de recuperación impresa en la caja, precintos rotos o pegados de nuevo, un dispositivo que ya está configurado o que omite el paso del PIN, y transacciones salientes que no hayas realizado. Cryptonews añade una advertencia importante: superar la comprobación de autenticidad de Ledger no demuestra que un dispositivo nunca haya sido modificado.

¿Cómo comprar una wallet de hardware de forma segura?

La regla más fiable que deja este incidente es comprar directamente al fabricante, no a través de distribuidores, anuncios de marketplaces o vendedores en aplicaciones de mensajería. Además, la frase de recuperación debe generarse en el dispositivo durante la configuración, anotarse sin conexión y no introducirse nunca en un sitio web, una aplicación o un chat de soporte. Una frase de contraseña añade una segunda capa de seguridad, y es sensato transferir un saldo significativo por etapas después de la configuración.

El riesgo de la cadena de suministro no es nuevo para Ledger. En 12/2023, unos atacantes publicaron versiones maliciosas de la biblioteca de software Connect Kit de Ledger tras suplantar a un exempleado mediante phishing. ZachXBT informó de que se robaron más de 610.000 $ en ese incidente no relacionado, según TechRadar. Los dos casos son distintos —uno afecta a una biblioteca de software y el otro implica manipulación física—, pero ambos muestran que el eslabón más débil suele ser algo que rodea al dispositivo, no el chip seguro en sí.

¿Qué deberían hacer los propietarios con sus criptomonedas tras moverlas y qué papel tiene WEEX Spot?

Trasladar los fondos a una nueva seed es una medida de autocustodia; una cuenta de exchange ofrece otro tipo de custodia y no es un sustituto. En un wallet de hardware, el propietario controla las claves; en un exchange, la plataforma custodia los activos. Por tanto, los riesgos son distintos y uno no elimina al otro. Algunos propietarios que acaban de migrar sus fondos también quieren convertir una parte de sus tenencias, por ejemplo, pasar de una moneda cuyo precio cae a stablecoins, o rebalancear su cartera sin mantenerlo todo en un único dispositivo nuevo mientras comprueban que está limpio. WEEX Spot permite hacerlo sin apalancamiento ni liquidación y utilizando fondos que ya están en la cuenta, por lo que la única exposición es el riesgo de mercado del propio activo.

Hay algunas medidas prácticas que se aplican a cualquier cuenta de exchange. Usa una contraseña única y activa todas las protecciones de cuenta que ofrezca la plataforma, comprueba cuidadosamente las direcciones de depósito antes de enviar fondos y desconfía de cualquiera que se ofrezca a «recuperar» tus fondos robados a cambio de una tarifa, ya que esos mensajes son una estafa habitual que aparece después de un robo. WEEX mantiene un fondo de protección de 1,000 BTC; puedes consultar los detalles en weex.com/protectfund, pero no garantiza que no haya pérdidas de mercado ni sustituye una gestión cuidadosa de las claves.

Conclusión

El vaciado de wallets de Ledger por un valor estimado de 86 M $ es un caso relacionado con la cadena de suministro de los dispositivos de un distribuidor, no una prueba de que todos los Ledger estén comprometidos. Ledger ha confirmado un implante de hardware no autorizado y afirma que sus sistemas y ventas directas no se han visto afectados, mientras que las pérdidas totales, el mecanismo del ataque y el número de víctimas siguen sin confirmarse. Los propietarios deberían comprobar de dónde procede su dispositivo, seguir las recomendaciones de Ledger si lo compraron a través de CryptoBilis y tratar con cautela cualquier afirmación no verificada sobre los atacantes o la propiedad del distribuidor hasta que los investigadores publiquen más información.

Preguntas frecuentes

1. ¿Es seguro mi Ledger tras los robos relacionados con CryptoBilis?
Ledger afirma que todos los casos confirmados afectan a dispositivos vendidos a través de CryptoBilis y que no hay informes relacionados con dispositivos comprados directamente a Ledger. Quienes compraron a CryptoBilis deberían seguir las recomendaciones de Ledger y comprobar el dispositivo antes de usarlo.

2. ¿Cuánto se robó de los wallets de Ledger?
Los analistas on-chain estiman que se robaron entre aproximadamente 72 M $ y 93 M $, y la cifra de Specter supera 86 M $. Ledger no ha confirmado ninguna cifra total.

3. ¿Qué confirmó Ledger sobre los dispositivos de CryptoBilis?
Ledger confirmó que el dispositivo de uno de los usuarios afectados contenía un implante de hardware no autorizado y que sus propios sistemas no muestran indicios de haber sido comprometidos. No ha explicado cómo entró el implante en la cadena de suministro.

4. ¿Qué debería hacer si compré un Ledger a CryptoBilis?
No configures un dispositivo sin usar. Si ya está en uso, traslada los fondos a una nueva seed generada en un dispositivo comprado directamente a Ledger y contacta con Ledger a través de su sitio oficial.

5. ¿Puedo usar WEEX Spot después de trasladar mis criptomonedas a un nuevo wallet?
Sí. WEEX Spot no ofrece apalancamiento ni liquidación y permite operar con fondos que ya están en la cuenta. Una cuenta de exchange es de custodia, por lo que implica riesgos distintos a los de un wallet de hardware.