Ledger ha suspendido las ventas a revendedores en siete mercados asiáticos después de confirmar que las billeteras de hardware vendidas por CryptoBilis fueron modificadas físicamente para capturar las frases de recuperación de 24 palabras de los clientes y transmitirlas a una parte no autorizada.
Según un informe de BleepingComputer del 14 de octubre de 2026, Ledger abrió una investigación el 9 de octubre tras recibir denuncias de pérdidas de criptomonedas de varios usuarios. El informe no ofrece cifras de pérdidas ni el número de clientes afectados.
Ledger afirmó que todas las pérdidas confirmadas estaban relacionadas con un dispositivo vendido por CryptoBilis, un revendedor del sudeste asiático. Además, algunos usuarios han señalado dispositivos sospechosos procedentes de otros canales minoristas de Asia y Europa, pero Ledger no ha confirmado esos casos.
Un componente independiente captura la frase semilla
El equipo de seguridad Donjon de Ledger descubrió que las billeteras manipuladas contenían un microcontrolador adicional. El implante detecta y decodifica la frase de recuperación de 24 palabras introducida durante la configuración o la restauración de la billetera y, a continuación, la envía a través de una conexión LTE mediante una eSIM aprovisionada.
Según Donjon, el componente no modifica el Secure Element de la billetera ni el sistema operativo de Ledger. Tampoco altera el procesamiento de las transacciones y las firmas.
Este diseño tiene una consecuencia defensiva importante: las autocomprobaciones de integridad de Ledger no pueden detectar el implante, porque los componentes y el software de seguridad legítimos permanecen intactos. Por tanto, un dispositivo puede superar esas comprobaciones mientras un componente añadido vigila la frase de recuperación.
Según el informe, los hallazgos técnicos coinciden en líneas generales con los publicados antes por Mark Karpelès y Tibane Labs.
En el caso de quienes hayan usado confirmadamente una unidad modificada, la finalidad documentada del implante implica que la frase de recuperación debe considerarse expuesta. El riesgo afecta al control de la propia billetera: quien obtenga la frase puede usarla para restaurar la billetera en otro lugar.
Suspensión de ventas en siete mercados
Ledger pidió a revendedores y distribuidores que dejaran de vender sus billeteras y retiraran de los estantes los productos existentes en:
- Indonesia
- Singapur
- Tailandia
- Filipinas
- Vietnam
- Malasia
- Hong Kong
Se espera que la suspensión se mantenga mientras continúen las investigaciones de seguridad de los dispositivos. El informe describe la medida tanto como una petición a los vendedores como una suspensión más amplia que abarca a los distribuidores de esos mercados.
Ledger sostiene que su infraestructura, sus servicios, sus sistemas internos y su canal de venta directa siguen siendo seguros. Esa es la postura de la empresa; la manipulación confirmada hasta ahora afecta a los dispositivos distribuidos a través de CryptoBilis.
Por otra parte, algunos usuarios han informado de la compra de billeteras manipuladas a un minorista de tecnología Metapod en un aeropuerto de Singapur y a través de MediaMarkt en Europa. Ledger no ha confirmado estos casos. MediaMarkt, que obtiene los dispositivos de Ledger a través de Aqipa GmbH, retiró el producto de sus estantes tras las denuncias.
Trezor reduce su red de revendedores como medida preventiva
Trezor afirmó no haber encontrado indicios de que sus propias billeteras hubieran sido comprometidas. No obstante, la empresa planea reducir su red de revendedores, introducir un nuevo marco jurídico actualizado y reforzar la supervisión de cómo se obtienen, almacenan y manipulan los dispositivos.
Según una carta enviada a los vendedores afectados, las asociaciones con los revendedores correspondientes terminarán el 1 de enero de 2027, fecha en la que se revocará su autorización para vender dispositivos Trezor.
Para los clientes de Ledger, el canal de compra es ahora un factor clave para evaluar la exposición. Los dispositivos confirmadamente procedentes de CryptoBilis forman parte del incidente identificado, mientras que los casos relacionados con otros vendedores siguen sin confirmar. Por sí sola, la comprobación de integridad integrada de Ledger no puede descartar el implante descrito por Donjon.
