Ledger ordenó a su red autorizada mantener las carteras de criptomonedas fuera de estantes y exhibidores y resguardarlas hasta entregarlas al comprador. La medida responde al ataque con implantes que capturaban las frases de recuperación durante la configuración de dispositivos vendidos por CryptoBilis, un distribuidor del sudeste asiático.
En su comunicado del 15 de octubre de 2026, la empresa también reiteró que los productos devueltos nunca pueden revenderse, aunque parezcan nuevos y sin abrir. Los distribuidores deben informar con rapidez cualquier reporte de un producto inusual.
La investigación comenzó tras las pérdidas reportadas el 9 de octubre. Como contamos en nuestra cobertura del 12 de octubre, Ledger había confirmado un implante en el dispositivo de un usuario afectado. Ahora hay una explicación de su funcionamiento y cambios concretos en la distribución.
Gerardo Pavez
Cómo salían las 24 palabras del dispositivo
El análisis de Ledger Donjon difundido el 13 de octubre, recogido por The Record, describe un componente oculto que leía los datos mostrados en pantalla. Durante la configuración identificaba la frase de recuperación de 24 palabras y la transmitía por una conexión móvil LTE mediante una eSIM integrada.
Esa frase permite reconstruir el acceso a los fondos desde otro equipo, sin volver a tocar el dispositivo original.
La documentación oficial de Donjon precisa que Genuine Check comprueba la autenticidad del elemento seguro, el chip protegido del equipo. El control puede pasar por alto un implante físico añadido cuando ese chip original permanece intacto. Tampoco certifica el historial del dispositivo durante su distribución.
Un equipo podía, por tanto, conservar un chip legítimo y exponer las palabras desde otro componente de su interior. Esto ayuda a entender por qué Ledger amplió su respuesta al manejo del inventario antes de la venta.
Bitquery estima pérdidas en 335 carteras
En su actualización del 16 de octubre, Bitquery calculó 102 millones de dólares sustraídos de 335 carteras en seis redes en el ataque del 9 de octubre. La valoración usa los precios de aquella mañana. Ledger no ha validado ese recuento, según la propia firma de análisis.
La firma excluye movimientos posteriores entre direcciones del atacante para evitar duplicarlos. Advierte que una persona puede controlar varias carteras y algunas fueron vaciadas en varias redes.
Ese recuento tampoco identifica cuántos dispositivos contenían implantes. Bitquery distingue el rastreo de transferencias del examen necesario para determinar cómo se filtró cada clave.
La advertencia para los compradores de CryptoBilis
La recomendación de Ledger, recogida por The Record, es que quienes compraron un equipo en CryptoBilis y todavía no lo configuraron eviten activarlo y contacten al soporte oficial. Para quienes ya lo utilizaron, la compañía pide trasladar los activos a otro dispositivo con una frase de recuperación nueva.
Restaurar la misma frase en otro equipo conservaría el acceso asociado a esas palabras, incluidas las que el implante pudo haber capturado.
Ledger también pidió a los afectados contactar a las autoridades locales y consultar con soporte o la policía antes de abrir o enviar los dispositivos, que pueden aportar evidencia a la investigación.
