Qué ha pasado, paso a paso
El 9 de octubre de 2026, usuarios del sudeste asiático, sobre todo de Indonesia, Malasia y Filipinas, empezaron a denunciar que sus criptomonedas habían desaparecido de wallets Ledger. Los dispositivos de los afectados tenían algo en común: se habían comprado a CryptoBilis, un revendedor autorizado de Ledger en la región.
El 10 de octubre, Ledger confirmó que, en al menos uno de los dispositivos afectados, había un implante de hardware no autorizado. El 11 de octubre publicó una actualización a las 72 horas con tres conclusiones: todos los casos confirmados del 9 de octubre están relacionados con dispositivos vendidos por CryptoBilis, sus propios sistemas y sus ventas directas no parecen afectados, y ha pedido al revendedor que suspenda las ventas y los envíos. Recomienda además que quien haya comprado a CryptoBilis en los últimos 90 días valore trasladar sus fondos a un dispositivo Ledger nuevo.
Qué está confirmado y qué no
| Dato | Estado |
|---|---|
| Hay al menos un dispositivo con un implante de hardware no autorizado | Confirmado por Ledger |
| Los casos del 9 de octubre están vinculados a dispositivos vendidos por CryptoBilis | Confirmado por Ledger |
| Los sistemas de Ledger y sus ventas directas no parecen afectados | Declaración de Ledger |
| Pérdidas superiores a 93 millones de dólares, unas 311 wallets y cinco redes | Estimación de analistas on-chain, no cifra oficial |
| Cuántos dispositivos llevan implante | Desconocido |
| Cómo funciona exactamente el implante | Ledger no lo ha explicado |
| Que el implante explique todos los vaciados | Ledger no lo ha confirmado todavía |
| Una unidad manipulada comprada en MediaMarkt (Europa) | Denuncia de un usuario, sin verificar |
Cómo es el ataque: no es una vulnerabilidad de software
La diferencia con otros incidentes recientes es importante. No se ha hackeado el software de Ledger ni sus sistemas, según la compañía. Se trata de un ataque a la cadena de suministro: alguien habría modificado físicamente dispositivos antes de que llegaran al comprador. Es un riesgo distinto del fallo de firmware que afectó a Coldcard en julio, que se explica en este artículo.
Varios detalles hacen especialmente difícil detectarlo. Según el testimonio de Mark Karpelès, el exdirector de Mt. Gox, que dijo haber comprado un dispositivo manipulado en Malasia, el precinto de plástico estaba intacto y el aparato superó la comprobación de autenticidad de Ledger, porque el chip de seguridad original sigue siendo genuino. Según su relato, la única forma fiable de detectar el implante es abrir el dispositivo. Investigadores independientes describen implantes colocados para interceptar las comunicaciones internas de la pantalla, y las informaciones apuntan a que los atacantes pueden así acceder a la frase semilla. Todo esto son relatos de terceros: Ledger no ha publicado los detalles técnicos.
Una empresa de seguridad, Tibane Labs, ha documentado además modificaciones en un Nano X obtenido a través de vendedores en Japón, con envío desde Malasia.
Una cautela sobre el revendedor: varios medios señalan que CryptoBilis cambió de propietario poco antes de los robos. Es un dato relevante para la investigación, pero hasta ahora no hay pruebas públicas verificadas de que ese cambio esté relacionado con el ataque. Conviene no sacar conclusiones antes de que lo aclaren Ledger o las autoridades.
El caso MediaMarkt: qué se sabe de verdad
El 11 de octubre, un usuario de X publicó fotografías de un Ledger que, según dijo, había comprado en una tienda MediaMarkt unas dos semanas antes, con cableado no autorizado en su interior. Según su relato, el dispositivo parece una versión anterior del implante de Asia, y otro usuario señaló un componente de antena etiquetado como versión "eurasiática". Todavía no se han robado fondos de esa unidad.
Este es todo el caso, y conviene leerlo con precisión:
- Es una sola unidad, no "varias". No hay constancia de más.
- Es una denuncia sin verificar de forma independiente.
- Ledger no ha confirmado ningún dispositivo manipulado procedente de un canal europeo, y a 12 de octubre no había comentado públicamente la denuncia.
- Los medios consultados no precisan en qué país se compró la unidad. MediaMarkt es revendedor oficial de Ledger en varios países europeos.
Si se confirmara, el caso significaría que el problema no se limita a un revendedor del sudeste asiático. Hasta que eso ocurra, lo prudente es tratarlo como una señal de alerta, no como un hecho.
Qué hacer según tu situación
Si compraste a CryptoBilis en los últimos 90 días
Sigue la recomendación oficial de Ledger: valora trasladar tus fondos a un dispositivo nuevo, comprado en un canal de confianza. Hazlo con calma y con una prueba pequeña primero, comprobando bien cada dirección. Las prisas causan más pérdidas que el propio riesgo.
Si compraste en otro sitio, incluida Europa
No hay ningún riesgo confirmado para ti a día de hoy. Lo razonable es seguir las comunicaciones oficiales de Ledger y, si te genera dudas, valorar generar una frase semilla nueva en un dispositivo comprado directamente al fabricante y mover ahí tus fondos.
Para cualquier compra futura de una hardware wallet
- Compra directamente en la web oficial del fabricante. Ledger indica que sus ventas directas no parecen afectadas.
- Desconfía de cualquier dispositivo que llegue con una frase semilla ya generada o con una hoja de recuperación escrita: debe pedirte crear una nueva.
- Recuerda que la comprobación de autenticidad no basta, según el relato de Karpelès, frente a este tipo de manipulación.
- Nunca escribas tu frase semilla en un ordenador o móvil, ni la compartas con nadie que diga ser de soporte.
Cuidado con las estafas que aprovechan la noticia
Después de incidentes como este, aumentan los correos, mensajes y webs falsas que se hacen pasar por Ledger y piden tu frase semilla para "verificar" o "proteger" tus fondos. Ledger nunca te la pedirá. Si recibes un aviso, no pulses ningún enlace y entra tú mismo en la web oficial. Los patrones habituales se explican en la guía de cómo detectar estafas con Bitcoin.
Qué enseña este caso sobre la autocustodia
Dos incidentes con hardware wallets en tres meses, con causas totalmente distintas, un fallo de software en Coldcard y una manipulación física en Ledger, recuerdan que el modelo de amenazas de la autocustodia incluye la cadena de suministro. Eso no invalida guardar tus propias claves, pero sí sugiere varias prácticas. Comprar solo en canales verificados. No confiar en un único dispositivo para patrimonios importantes. Y considerar configuraciones de firma múltiple con dispositivos de distintos fabricantes, de modo que un atacante tendría que comprometer varios a la vez, como se explica en la guía de multisig avanzado. Es un principio general de seguridad: nadie ha demostrado todavía cómo afectaría exactamente a este ataque, y tampoco se ha aclarado si una passphrase adicional protegería frente a él.
Las bases de la custodia propia se explican en la guía de autocustodia, y la diferencia con dejar los fondos en manos de un tercero en custodial frente a non-custodial. Otros colapsos y robos del sector se recogen en los peores eventos de la historia cripto.
Conclusión
Lo confirmado es grave pero acotado: un implante de hardware en dispositivos vendidos por un revendedor concreto del sudeste asiático, con pérdidas estimadas por encima de los 93 millones de dólares. Lo que sigue sin confirmar es lo que más inquieta: cuántos dispositivos están afectados, cómo funciona el implante y si el problema ha llegado a Europa más allá de una denuncia aislada. Hasta que Ledger lo aclare, la respuesta proporcionada no es el pánico, sino comprar solo en canales oficiales, seguir sus comunicaciones y no regalar nunca tu frase semilla a nadie.
Fuentes: Help Net Security (12 de octubre de 2026), Cointelegraph, Crowdfund Insider, CryptoPotato, MPost, Crypto Times y las comunicaciones de Ledger citadas por estos medios. La información está en desarrollo y se actualizará. Este artículo es informativo y no constituye asesoramiento de seguridad personalizado.