Las billeteras cripto de hardware son dispositivos físicos que almacenan las claves privadas necesarias para acceder a los criptoactivos y autorizar transacciones. Una de ellas es fabricada por la empresa francesa Ledger que, con un formato similar a un pendrive, y protegida por un código PIN establecido por el usuario, permite alojar estas contraseñas. Y aunque parecieran ser una solución segura, algunos lograron “hackearlas” y robar hasta US$102 millones.
El ataque involucró a 324 monederos digitales identificados en seis redes blockchain. Las primeras denuncias provenían del sudeste asiático, donde usuarios de monederos Ledger aseguraban que los fondos de sus billeteras habían desaparecido, sin haber autorizado ninguna transferencia.
La empresa detrás de las billeteras hizo sus averiguaciones y señaló como responsable a uno de sus distribuidores autorizados para vender sus productos en Malasia, Indonesia y Filipinas: CryptoBilis. Ledger explicó que había un implante físico no autorizado en al menos uno de los dispositivos afectados, aunque no confirmó el importe total de las pérdidas.
¿Cómo funcionan estos monederos? Las criptomonedas no están almacenadas dentro del aparato: sus registros permanecen en una cadena de bloques. Lo que el dispositivo resguarda son las claves privadas que permiten autorizar transacciones. Al configurarlo, el Ledger Nano X genera una frase de recuperación de 24 palabras que sirve para volver a acceder a esas claves en caso de pérdida del monedero. Por eso, si un tercero obtiene esa combinación, puede recuperar el acceso a los fondos desde otro dispositivo, sin necesidad de tener el original.
Según una investigación de Joe Grand y Tibane Labs, algunos dispositivos Ledger Nano X habían sido modificados con circuitos adicionales conectados al sistema que controla la pantalla. Al configurar el dispositivo, esos componentes podían interceptar los caracteres de la frase de recuperación y almacenarlos. Luego, mediante un módulo LTE, una eSIM y una antena incorporados, la información podía ser enviada a los atacantes, quienes quedaban en condiciones de reconstruir el acceso al monedero desde otro dispositivo.
Según divulgó la firma Ledger, no han detectado señales de que sus sistemas o servicios hayan sido comprometidos, por lo que, hasta el momento, la investigación apunta a una intervención física de solo algunas unidades.
Las señales del lamentable evento habían aparecido mucho antes del robo, ya que, en agosto de 2025, Joe Grand empezó a analizar distintos monederos Ledger, luego de que un comprador en Tailandia encontrara componentes inusuales en uno de los dispositivos. Mientras avanzaba la investigación, Ledger recomendó a los usuarios que hubieran adquirido uno de sus dispositivos a través de CryptoBilis durante los 90 días previos a la alerta que no lo configuraran si todavía no habían comenzado a utilizarlo. Por su parte, a quienes ya habían puesto el dispositivo en funcionamiento, les recomendó evaluar la posibilidad de transferir sus fondos a un nuevo monedero Ledger, protegido por una frase de recuperación distinta.
