Ledger confirmó que encontró un implante de hardware no autorizado en el dispositivo de un usuario afectado por las pérdidas de criptomonedas investigadas alrededor de CryptoBilis. El hallazgo abre una cuestión concreta: una cartera puede conservar su chip de seguridad original y haber sido modificada físicamente antes de llegar al comprador.
La confirmación del 10 de octubre, recogida por CoinDesk, se refiere a un dispositivo. En su actualización del 11 de octubre, Ledger sostuvo que todos los casos confirmados del incidente del 9 de octubre involucraban equipos vendidos por CryptoBilis y describió como limitado el volumen afectado, sin publicar un número.
CryptoBilis figuraba como distribuidor autorizado de Ledger en Indonesia, Malasia y Filipinas, según Cointelegraph. Ledger informó que el vendedor suspendió las ventas de todas sus carteras de hardware durante la investigación. La compañía también dijo a Cointelegraph que su infraestructura, sistemas y servicios no habían sido comprometidos y que no había recibido reportes sobre compras directas a la empresa.
Qué comprueba el control de autenticidad de Ledger
La documentación de Ledger Donjon, el equipo de investigación de seguridad de la compañía, explica que Genuine Check verifica la autenticidad del elemento seguro, el chip que forma parte de la protección del dispositivo.
Ese control tiene un límite que Ledger reconoce expresamente: no detecta modificaciones físicas no autorizadas, incluidos implantes espía, cuando el elemento seguro original permanece intacto. Tampoco verifica el historial físico del equipo a lo largo de su cadena de distribución.
Help Net Security recoge una hipótesis de Mark Karpelès, quien afirma haber examinado una cartera manipulada en Malasia: una placa oculta bajo la pantalla capturaría la frase de recuperación durante la configuración y la enviaría al atacante. Ledger todavía no ha descrito cómo funciona el implante que confirmó.
Las estimaciones cuentan carteras y direcciones
Las cifras de pérdidas siguen sujetas a revisión. En su cobertura del 12 de octubre, CoinDesk recogió una estimación de Bitquery de 93.2 millones de dólares, asociada a 315 carteras en seis redes. También citó a YFarmX, que calculaba 94.5 millones de dólares vinculados a 521 direcciones en siete redes. Ledger no había validado esos totales.
Los recuentos usan unidades y alcances distintos. Bitquery advierte en su metodología que una cartera afectada no equivale a una persona: un propietario puede controlar varias carteras y algunas cuentas fueron vaciadas en más de una red.
El rastreo de transferencias tampoco identifica por sí mismo cuántos dispositivos contenían implantes. Para establecer ese número hace falta evidencia sobre los equipos, además del movimiento de fondos registrado en blockchain.
CoinDesk también informó de un congelamiento de 10 millones de dólares en USDT atribuido a Tether y confirmado por Bitquery. El dato describe activos inmovilizados, no una indemnización entregada a los perjudicados.
La advertencia de Ledger para los compradores
Ledger pidió a quienes compraron equipos en CryptoBilis que no configuren los dispositivos todavía sin usar. Para quienes ya los activaron, la compañía recomendó trasladar los activos a otro dispositivo con una frase de recuperación recién generada.
La empresa también advirtió sobre estafadores que podrían aprovechar el incidente para hacerse pasar por soporte. Reiteró que nunca solicitará las 24 palabras de recuperación mediante llamadas o mensajes privados.
La revisión alcanza además al canal de distribución: Ledger recordó a sus vendedores autorizados que deben abastecerse exclusivamente por canales autorizados y que tienen prohibido volver a poner a la venta productos devueltos.
