En resumen
- Ledger dijo que su equipo de seguridad Donjon encontró un implante de hardware no autorizado en una cartera vendida por el revendedor del sudeste asiático CryptoBilis.
- El implante lee la frase de recuperación de 24 palabras desde la pantalla del dispositivo durante la configuración y la transmite por LTE usando una eSIM provisionada.
- Ledger no ha confirmado cuántos usuarios se vieron afectados ni cuánto se perdió, y está revisando informes de implantes en otros dispositivos y ubicaciones.
Ledger dijo que su equipo de investigación de seguridad ha encontrado un implante de hardware no autorizado que capturó frases de recuperación dentro de carteras vendidas por el revendedor del sudeste asiático CryptoBilis, en un tuit el martes.
El fabricante de carteras de hardware con sede en París dijo que confirmó el implante el sábado en el dispositivo de un usuario afectado. Todas las pérdidas confirmadas del incidente, que Ledger reveló el viernes, involucran dispositivos vendidos a través de CryptoBilis, y la compañía dijo que no ha verificado un drenaje vinculado a un dispositivo comprado en otro lugar.
Actualización de Ledger Donjon sobre la investigación de CryptoBilis 🔽@DonjonLedger está investigando los firmantes de Ledger vendidos por CryptoBilis, un revendedor en el sudeste asiático, que contenían un implante de hardware no autorizado. Ledger confirmó esto el 10 de octubre para el firmante de un usuario afectado.…
— Ledger (@Ledger) 13 de octubre de 2026
Un dispositivo Ledger, al que la compañía llama firmante, muestra una frase de recuperación de 24 palabras durante la configuración. Cualquiera que tenga esa frase puede restaurar la cartera y controlar sus fondos.
Según el análisis de Ledger Donjon, el equipo de seguridad de la compañía, el implante se encuentra dentro de la carcasa del dispositivo y lee lo que se muestra en la pantalla. Cuando detecta las pantallas de la frase de recuperación, su microcontrolador decodifica las palabras y las transmite por LTE usando una eSIM provisionada.
El implante es un componente separado, dijo Ledger, y agregó que no modifica el Elemento Seguro del dispositivo ni el sistema operativo de Ledger, ni altera transacciones o firmas.
CryptoBilis ha confirmado que dejó de vender dispositivos Ledger mientras continúa la investigación, según Ledger.
Ledger dijo que no ha confirmado el número total de usuarios afectados o el valor perdido, y que las cifras que circulan en línea provienen de terceros que no ha verificado completamente. El investigador onchain Specter rastreó más de $86 millones en presuntos robos en Ethereum, Tron y Bitcoin, Decryptinformó el viernes.
Ledger revisa informes más allá de CryptoBilis
Ledger dijo que también está revisando informes de implantes en otros firmantes y ubicaciones. Un usuario de X ha afirmado haber encontrado dos dispositivos Ledger manipulados comprados en tiendas minoristas en Europa, una afirmación que no ha sido verificada de forma independiente.
Los usuarios que perdieron fondos o poseen un dispositivo manipulado también deberían presentar un informe ante las autoridades locales, dijo Ledger, y no deberían enviar el dispositivo a nadie, ni abrirlo, antes de hablar con el Soporte de Ledger o la policía.
Los compradores que no compraron a CryptoBilis pueden inspeccionar el interior de su dispositivo usando una guía de Ledger, aunque la compañía advirtió que abrir un firmante puede dañarlo e instó a los usuarios a respaldar primero su frase de recuperación.
Ledger reiteró que nunca llamará a los usuarios, les enviará mensajes directamente ni les pedirá su frase de recuperación. El Donjon analizará los dispositivos que reciba y compartirá más información a medida que continúe la investigación, dijo la compañía.
