Un chip espía en carteras Ledger: así robaron más de 90 millones en criptomonedas

¿Qué es una cartera Ledger?

Una cartera de hardware (hardware wallet) es un dispositivo físico, parecido a un pendrive o a un móvil pequeño, que guarda las claves privadas que dan acceso a las criptomonedas. Ledger fabrica varios modelos, como el Nano S Plus, el Nano X, el Flex o el Stax.

Su ventaja frente a una cartera instalada en el ordenador o el móvil es que las claves nunca salen del dispositivo. Se guardan en un chip de seguridad (Secure Element) y las operaciones se firman dentro de la propia cartera, de modo que un virus en el ordenador no puede robarlas. Por eso se habla de “almacenamiento en frío”.

Hay un punto crítico: al configurar la cartera por primera vez, el dispositivo muestra en pantalla una frase de recuperación de 24 palabras. Con esa frase se puede reconstruir la cartera en cualquier otro dispositivo y mover los fondos. Quien tiene la frase tiene el dinero.

¿Qué ha pasado?

Los atacantes no han atacado el software de Ledger, sino los dispositivos físicos antes de que llegaran al comprador. Dentro de la carcasa, algunas unidades llevaban una pequeña placa adicional con:

• Un microcontrolador conectado a la línea de datos que va del chip de seguridad a la pantalla.
• Una eSIM con conexión móvil LTE.

Cuando el usuario configuraba la cartera y aparecían en pantalla las 24 palabras, el implante las leía y las enviaba al atacante por la red móvil. Después, el atacante solo tenía que esperar a que la víctima depositara fondos para vaciarla desde otro dispositivo.

Lo más preocupante es que el implante no toca ni el chip de seguridad ni el firmware. Por eso el Genuine Check, la comprobación de autenticidad de Ledger, daba el dispositivo por bueno. Además, el precinto del embalaje podía estar intacto.

Cronología

• 9 de octubre:
  usuarios del Sudeste Asiático denuncian que sus carteras se están vaciando. Todas se habían comprado a CryptoBilis, un distribuidor que opera en Malasia, Indonesia y Filipinas. Ledger le ordena suspender ventas y envíos.
• 10 de octubre:
  Ledger confirma que el dispositivo de uno de los afectados llevaba un implante de hardware oculto.
• 13 de octubre:
  Ledger amplía la medida y ordena a distribuidores y revendedores de Indonesia, Singapur, Tailandia, Filipinas, Vietnam, Malasia y Hong Kong suspender las ventas y retirar los productos de las tiendas. No hay fecha para reanudarlas. Ese mismo día, MediaMarkt Saturn deja de vender dispositivos Ledger después de que un cliente en Alemania afirmara haber encontrado un implante en una cartera comprada en una de sus tiendas. En ese caso no se ha notificado pérdida de fondos.

Ledger asegura que sus sistemas, su firmware y su tienda oficial no están comprometidos, y que hasta ahora solo ha verificado pérdidas en dispositivos del Sudeste Asiático. Su equipo interno de seguridad, Ledger Donjon, está analizando los dispositivos devueltos para averiguar quién los manipuló y en qué punto de la distribución. Tether ha congelado unos 10 millones de dólares en USDT vinculados a los robos.

Reacción del sector

El caso ya está teniendo consecuencias fuera de Ledger. Su competidor Trezor ha anunciado que, a partir del 1 de enero de 2027, pondrá fin a parte de sus acuerdos con distribuidores. Quiere quedarse con una red más pequeña en la que pueda evaluar a cada socio. Insiste en que no hay indicios de que sus dispositivos estén afectados.

La lección: la cadena de suministro también es un riesgo

Este caso demuestra que no basta con que un producto sea seguro “de fábrica”. Entre la fábrica y el usuario hay distribuidores, almacenes y revendedores, y cualquiera de ellos puede convertirse en un punto de ataque. Pasa lo mismo con cualquier equipo que entra en una empresa, ya sea un portátil, un router o una llave de seguridad.

Consejos para protegerte

1. Compra solo en canales oficiales.
   Compra las carteras directamente en la web del fabricante. Evita revendedores, marketplaces y equipos de segunda mano, por muy buen precio que tengan.
2. Si compraste a un revendedor, cambia de cartera.
   Si compraste a CryptoBilis en los últimos 90 días y aún no has configurado el dispositivo, no lo hagas. Si ya lo usas, consigue uno nuevo en la tienda oficial, genera una frase de recuperación nueva y transfiere todos tus fondos.
3. No te fíes solo del Genuine Check.
   Verifica el chip de seguridad, pero no detecta hardware añadido. Si tienes dudas, desconfía del dispositivo.
4. Nunca compartas tu frase de recuperación.
   Ledger no te llamará, no te enviará mensajes directos y nunca te pedirá las 24 palabras. No las escribas en ninguna web, app o formulario. Cuidado también con los anuncios patrocinados en buscadores: se han detectado webs falsas de Ledger anunciadas en Google.
5. Guarda la frase solo en papel o metal, fuera de línea.
   Nada de fotos, notas del móvil ni la nube.
6. Reparte el riesgo.
   Si gestionas importes elevados, usa esquemas multifirma (multisig) con dispositivos de fabricantes distintos, para que un solo dispositivo comprometido no baste para vaciar los fondos.
7. Desconfía de las cifras y los rumores.
   Con un caso así circulan muchos datos sin verificar y aparecen estafadores que se aprovechan del miedo. Consulta siempre los canales oficiales del fabricante.
8. En la empresa, controla la procedencia del hardware.
   Define proveedores autorizados, revisa los equipos al recibirlos y sospecha de los precios demasiado bajos. La seguridad empieza antes de encender el dispositivo.

Si tienes dudas sobre la seguridad de los dispositivos o los procesos de compra de tu empresa, en el equipo SOC de Infordisa te ayudamos. Existimos para ayudar.

Fuentes:

• Bitcoin.com
  Retiran carteras Ledger en siete mercados asiáticos por chip espía
• BleepingComputer
  Ledger confirms spy chip implant behind wallet crypto thefts
• CoinDesk
  Ledger finds covert cellular implant stole recovery phrases
• Tech Times
  Genuine Check passes on implanted devices
• Quartz
  Ledger revisa políticas de revendedores
• El Economista
  Artículo original