El fallo no está en el chip de Ledger: un implante en la caja leía las semillas de bitcoin
Según Ledger, algunos dispositivos vendidos por el revendedor CryptoBilis, en el sudeste asiático, llevaban dentro un componente añadido que leía las 24 palabras en la pantalla y las mandaba por la red móvil. No es un fallo de firmware: es un problema de procedencia.
Ni el Secure Element, ni el sistema operativo, ni las firmas. Según la explicación que Ledger Donjon, el equipo de seguridad de Ledger, publicó el 13 de octubre de 2026, el implante encontrado en dispositivos vendidos por CryptoBilis es una pieza aparte, metida dentro de la carcasa, que se limita a leer lo que sale en pantalla [1]. Cuando el aparato muestra la frase de recuperación durante la configuración, el implante la descodifica y la envía por LTE con una eSIM [1].
Es casi el caso contrario al de COLDCARD este verano. Allí el dispositivo generaba mal las semillas; aquí, según Ledger, el dispositivo hace bien su trabajo y alguien le ha puesto un espía al lado.
Qué está confirmado y qué no
Confirmado por Ledger:
- El 9 de octubre de 2026 abrió una investigación por pérdidas de fondos de clientes que habían comprado a CryptoBilis, y le pidió que dejara de vender y enviar dispositivos [3].
- El 10 de octubre confirmó un implante de hardware no autorizado en el dispositivo de uno de los afectados [1][2].
- Todas las pérdidas confirmadas del incidente del 9 de octubre son de dispositivos vendidos por CryptoBilis, y Ledger dice no haber verificado ningún vaciado ligado a un dispositivo comprado en otro sitio [1]. CryptoBilis, según Ledger, ha dejado de vender sus dispositivos mientras dura la investigación [1].
- Ledger ha pedido a revendedores y distribuidores de Indonesia, Singapur, Tailandia, Filipinas, Vietnam, Malasia y Hong Kong que suspendan las ventas y retiren el producto de las tiendas mientras investiga [4].
- Ledger dice que la investigación sigue abierta para saber quién manipuló los dispositivos y en qué punto de la cadena de distribución [4].
Sin confirmar:
- Cuánto se ha perdido. Ledger dice que no ha confirmado ni el número de afectados ni el valor total, y que las cifras que circulan son de terceros [1]. Analistas on-chain citados por CoinDesk lo estiman entre 86 y 93 millones de dólares en más de 300 carteras de varias cadenas, entre ellas la de bitcoin [2]. Según Yahoo Finance, Bitquery calcula 93,2 millones en 315 carteras y YFarmX, la estimación más alta, 103,4 millones en 530 direcciones [7]. Son cifras de esas firmas, no de Ledger, que no ha dado ninguna oficial.
- Otras tiendas. Según BleepingComputer, algunos usuarios dicen haber comprado dispositivos modificados en una tienda Metapod del aeropuerto de Singapur y a través de MediaMarkt en Europa, y, según The Block, MediaMarkt ha suspendido la venta de dispositivos Ledger en Europa [8]. Ledger dice que está revisando reportes de implantes en otros dispositivos y lugares, sin haberlos verificado [1].
- Amazon Japón. Los ejemplares que analizaron investigadores independientes se habrían comprado a vendedores externos en Amazon Japón y en Yahoo! Subastas [5]. Ledger aclaró que esos dispositivos se compraron a revendedores terceros de Amazon Japón, no a Amazon directamente [6].
- El modelo. Ledger no ha dicho públicamente qué modelo es; los investigadores citados por BleepingComputer describen el implante en un Nano X [5].
Cómo funciona, según Ledger Donjon
La descripción oficial es corta [1]. El implante va dentro de la carcasa y lee los datos que se muestran en pantalla. Al configurar el dispositivo, la pantalla enseña las 24 palabras; cuando el implante detecta esas pantallas, su microcontrolador descodifica las palabras y las transmite por LTE usando una eSIM.
Los investigadores independientes han ido más lejos con el destornillador. Según BleepingComputer, Tibane Labs encontró dos variantes [5]. En una, la batería original se cambió por otra más pequeña, que alimenta a la vez el implante y el dispositivo. La otra usa la batería original y ocupa el hueco de la espuma que va bajo la pantalla. En las dos, la pista visible era el cable de la antena [5].
El implante, según Ledger, «no modifica el Secure Element ni el sistema operativo de Ledger, y no altera transacciones ni firmas» [1]. Esa frase es la clave de todo lo demás.
Por qué el Genuine Check no lo ve
El Genuine Check de Ledger comprueba que el chip seguro es auténtico. Y en este caso lo es.
Según BleepingComputer, Ledger advierte de que esa comprobación no puede detectar componentes añadidos cuando el Secure Element original sigue intacto [5]. No hay nada que el dispositivo pueda «notar» por sí mismo, porque el implante no le habla: solo mira la pantalla. Ahora bien, eso no convierte el Genuine Check en inútil, sigue sirviendo para lo que sirve, que es detectar un chip falso.
Qué hacer, según tu caso
Estas son las pautas que ha publicado Ledger [1]:
- Compraste a CryptoBilis y no lo has configurado: no lo configures y contacta con el soporte oficial de Ledger.
- Compraste a CryptoBilis y ya lo usas: pasa los fondos cuanto antes a un dispositivo nuevo con una frase de recuperación nueva. No introduzcas ni restaures ninguna frase en el aparato de CryptoBilis.
- Perdiste fondos o crees tener un dispositivo manipulado: contacta con el soporte de Ledger y denuncia ante la policía. Ledger pide no enviar el dispositivo a nadie antes de hablar con ellos o con la policía, y no abrirlo sin coordinarte con la policía.
- No compraste a CryptoBilis y quieres mirar dentro: Ledger tiene una guía para revisarlo, pero avisa de que abrirlo puede dañarlo; respalda antes la frase [1].
Y una regla que vale para cualquier marca. Ledger recuerda que nunca te llamará, ni te escribirá por mensaje directo, ni te pedirá las 24 palabras [1]. Con COLDCARD, la segunda ola fueron los falsos verificadores de semillas; en un caso así conviene estar atento a lo mismo.
Un problema de la caja, no de la autocustodia
Ledger dice no tener indicios de que su infraestructura, sus sistemas, sus servicios o su canal de venta directa estén comprometidos [4]. También recordó a sus distribuidores que solo compren por canales autorizados y que no vuelvan a poner a la venta productos devueltos [2].
Para quien guarda bitcoin en un dispositivo propio, lo práctico es mirar de dónde sale el aparato tanto como qué chip lleva. Comprar directamente al fabricante o a un distribuidor autorizado reduce los intermediarios por los que pasa la caja. Y generar la semilla en el dispositivo, en un sitio sin cámaras, no protege de un espía que va dentro: por eso la procedencia importa.
Trezor, según BleepingComputer, no ha encontrado indicios de que sus dispositivos estén afectados, pero va a reducir su red de revendedores a partir del 1 de enero de 2027 [3].
Si estás repasando cómo guardas tus bitcoin a raíz de esto, en la sección de privacidad y autocustodia tienes el resto de piezas sobre custodia propia.
Fuentes
Entre paréntesis, el tipo de fuente.
- Ledger, Update from Ledger Donjon on the CryptoBilis investigation, 13 de octubre de 2026. Mecanismo del implante, alcance confirmado, cifras no verificadas y pautas para usuarios. (Primaria, comunicado oficial)
- CoinDesk, Ledger says unauthorized implant found in at least one device sold by CryptoBilis, 12 de octubre de 2026. Confirmación del 10 de octubre, estimación de pérdidas de analistas on-chain y recordatorio a distribuidores. (Secundaria, prensa)
- BleepingComputer, Ledger asks sellers across Asia to halt sales after supply-chain attack, 14 de octubre de 2026. Inicio de la investigación, reportes sobre Metapod y MediaMarkt, y decisión de Trezor. (Secundaria, prensa)
- Ledger, Incident Update - Oct 13th, 2026, 13 de octubre de 2026. Suspensión de ventas en el sudeste asiático y Hong Kong, e infraestructura y venta directa sin indicios de compromiso. (Primaria, comunicado oficial)
- BleepingComputer, Ledger confirms spy chip implant behind wallet crypto thefts, 12 de octubre de 2026. Análisis de Tibane Labs y Mark Karpelès, y límites del Genuine Check. (Secundaria, prensa)
- Ledger, respuesta sobre los dispositivos de Amazon Japón, 14 de octubre de 2026. Aclara que se compraron a revendedores terceros. (Primaria, comunicado oficial)
- Yahoo Finance, Ledger Says All Confirmed Cases Trace to Reseller CryptoBilis, Gives No Loss Total, octubre de 2026. Estimaciones de Bitquery y YFarmX (103,4 millones de dólares en 530 direcciones). (Secundaria, prensa)
- The Block, Ledger confirms hardware implant in CryptoBilis reseller units as MediaMarkt suspends sales in Europe, 13 de octubre de 2026. Suspensión de ventas de MediaMarkt en Europa. (Secundaria, prensa)
Más en Privacidad y autocustodia
Última actualización: 15 de octubre de 2026