Ledger anunció el 15 de octubre de 2026 nuevos requisitos de seguridad para sus minoristas autorizados. Anteriormente, los atacantes instalaron componentes electrónicos ocultos en billeteras de criptomonedas auténticas para robar las frases de recuperación de los usuarios y acceder a sus fondos.
Ledger indica que, tras la manipulación de billeteras de hardware auténticas por parte de delincuentes para robar criptomonedas, la empresa ha reforzado las reglas para los revendedores.
- Los componentes ocultos capturan la frase de recuperación de la billetera durante el proceso de configuración del dispositivo y transmiten información sensible a través de la red celular.
- Ledger suspendió las ventas de revendedores autorizados en Sudeste Asiático y Hong Kong mientras investiga los dispositivos afectados.
- El equipo de seguridad inspeccionó los equipos de venta al por menor y de almacén y afirmó que no se encontraron equipos afectados en las muestras examinadas.
- Ledger ha solicitado a los minoristas que dejen de exhibir billeteras y prohíban la reventa de dispositivos devueltos sin excepción.
Este fabricante de billeteras de hardware confirmó que los atacantes compraron dispositivos legítimos, los modificaron y los volvieron a introducir en el mercado a través de canales de distribución en el sudeste asiático. Ledger ha suspendido las ventas de reventa en la región, inspeccionado dispositivos provenientes de tiendas minoristas y almacenes, y comenzado a colaborar con las autoridades encargadas de hacer cumplir la ley para rastrear los fondos robados.
La empresa afirmó que sus sistemas internos, software operativo y chips de seguridad no fueron comprometidos. Los investigadores continúan determinando el alcance completo del ataque, incluyendo cómo ingresaron al mercado los dispositivos alterados.
El ataque a la billetera Ledger involucra un componente oculto de frase de recuperación
La investigación de Ledger reveló que los atacantes se prepararon durante varios meses para esta operación. Compraron billeteras de hardware auténticas, desmontaron los dispositivos e insertaron componentes electrónicos personalizados para capturar la frase de recuperación durante el proceso de configuración.
La frase de recuperación generalmente contiene 24 palabras, que el usuario puede utilizar para recuperar el acceso a su billetera de criptomonedas. Cualquier persona que obtenga estas palabras podría recrear la billetera en otro dispositivo y transferir sus activos.
Los atacantes aprovechan el momento en que la frase de recuperación aparece en la pantalla del dispositivo. Componentes ocultos recopilan estas palabras y las transmiten a una infraestructura controlada por criminales.
En la actualización técnica del 13 de octubre, el equipo de seguridad Donjon de Ledger explicó que este malware utiliza un microcontrolador para leer la frase y transmitir la información a través de una conexión LTE celular mediante una tarjeta SIM integrada.
La empresa indicó que el componente opera independientemente del Secure Element que protege la información criptográfica sensible. Los investigadores no encontraron evidencia de que componentes maliciosos hayan modificado el sistema operativo o alterado las firmas de transacciones.
Anteriores investigaciones sobre el chip oculto en las billeteras Ledger documentaron cómo componentes electrónicos no autorizados pueden exponer la frase de recuperación sin alterar la función de firma normal del dispositivo.
Ledger declaró recientemente que esto es una operación delictiva organizada que involucra la adquisición de dispositivos, acuerdos de distribución y la infraestructura utilizada para recopilar credenciales de billeteras robadas.
El fabricante afirmó que el grupo invirtió millones de dólares en el ataque, pero no proporcionó un desglose financiero ni identificó a los involucrados.
Se informa que los atacantes utilizaron las frases de recuperación recolectadas para acceder a múltiples billeteras en un robo coordinado el 9 de octubre.
Aunque los investigadores independientes de blockchain estiman pérdidas superiores a 86 millones de dólares, Ledger aún no ha verificado el monto total robado ni el número de clientes afectados.
Ledger suspende la venta de billeteras en el sudeste asiático
Tras detectar el problema, Ledger solicitó a los distribuidores autorizados y minoristas del Sudeste Asiático y Hong Kong que suspendieran la venta de dispositivos hasta que los investigadores revisaran los canales de distribución afectados.
Las regiones restringidas incluyen Indonesia, Singapur, Tailandia, Filipinas, Vietnam, Malasia y Hong Kong.
Un revendedor de Sudeste Asiático, CryptoBilis, previamente estuvo asociado a casos confirmados que involucraban la manipulación de dispositivos.
Tras la notificación de clientes sobre pérdidas de fondos, la empresa suspendió la venta de billeteras de hardware.
Los informes anteriores sobre la investigación de la billetera CryptoBilis documentaron el descubrimiento de Ledger sobre componentes no autorizados y su respuesta inicial a las quejas de los clientes.
Tras recibir informes que involucraban otros lugares, Ledger amplió posteriormente las medidas preventivas más allá de este revendedor.
En Alemania, MediaMarkt Saturn dejó de vender dispositivos Ledger en tiendas físicas y plataformas en línea tras informarse que un dispositivo de un cliente contenía un componente malicioso.
Ledger indica que el caso en Alemania no provocó ninguna pérdida confirmada de fondos de clientes.
Este evento llevó a la suspensión independiente de las ventas de billeteras Ledger en Alemania, y la empresa está revisando los dispositivos e investigando la situación.
En la actualización del 15 de octubre, Ledger indicó que los investigadores compraron dispositivos en tiendas de diferentes mercados, incluyendo Alemania, y los desarmaron para una inspección física.
La empresa también revisó muestras del almacén y filtró una parte de su inventario propio.
Ledger indicó que en las muestras revisadas durante estas inspecciones no se encontraron componentes no autorizados.
Sin embargo, la empresa no reveló cuántos dispositivos se inspeccionaron, por lo que el número total de productos potencialmente afectados aún no se ha confirmado.
Ledger describió este incidente como un "ataque de distribución parcial" y mantuvo que su sistema de fabricación no fue la causa del daño.
La investigación aún no ha determinado con precisión dónde se modificó cada dispositivo afectado.
Ledger lanza nuevas reglas para minoristas de billeteras de hardware
Como parte de las medidas de respuesta, Ledger ha solicitado a los minoristas autorizados que modifiquen la forma en que almacenan y venden los monederos hardware.
Los minoristas deben dejar de exhibir los dispositivos Ledger en estantes y mostradores. En su lugar, deben almacenar los productos en áreas de depósito y entregarlos a los clientes únicamente al momento de la compra.
La empresa indica que estos requisitos entraron en vigor inmediatamente con el objetivo de reducir la posibilidad de acceso no autorizado a los dispositivos.
Ledger también recuerda a los distribuidores autorizados que los dispositivos devueltos nunca deben volver a venderse, incluso si el embalaje parece sellado o el producto parece nuevo.
Esta regla ya existía, pero Ledger ha solicitado a los distribuidores que la implementen sin excepciones.
Retailers must promptly notify the manufacturer when customers report abnormal products or suspicious hardware.
Mientras continúa la investigación, la empresa está fortaleciendo la supervisión de su red de distribuidores autorizados.
Ledger indica que su equipo de seguridad llevó a cabo la investigación interna más grande en la historia de la empresa, involucrando múltiples departamentos.
Expertos de Ledger Donjon desmontaron el dispositivo recuperado y analizaron su funcionamiento para determinar cómo los atacantes recopilaron la frase de recuperación.
El fabricante colaboró con investigadores de seguridad y socios de la industria durante la investigación, incluyendo a SEAL_911.
Ledger indica que el equipo está colaborando con las autoridades encargadas de hacer cumplir la ley para rastrear los fondos robados e identificar la infraestructura utilizada para recopilar credenciales de billeteras.
La empresa no ha revelado información sobre arrestos relacionados, cargos penales formales o la recuperación de fondos.
Ledger dice que, cuando los investigadores puedan divulgar los resultados de forma segura, la empresa planea publicar más información técnica.
Ledger planea mejorar aún más la protección contra la manipulación de billeteras
Además de las restricciones minoristas actuales, Ledger está desarrollando medidas adicionales de seguridad del producto destinadas a dificultar más los intentos de manipulación física.
La empresa aún no ha proporcionado especificaciones técnicas, modelos de productos afectados ni un cronograma para implementar estas medidas de protección.
Ledger indica que compartirá los resultados con otros fabricantes y vendedores de billeteras de hardware para que evalúen riesgos similares en sus propios productos.
El fabricante había advertido previamente a los clientes que compraron dispositivos a través de CryptoBilis que no inicializaran los dispositivos antes de contactar al soporte oficial.
Para los clientes que hayan utilizado billeteras que podrían verse afectadas, la empresa recomienda transferir sus criptomonedas a un dispositivo confiable y generar una nueva frase de recuperación.
Si el atacante ya tiene la antigua frase de recuperación, restaurar esa frase en un dispositivo reemplazado no garantiza la seguridad de los fondos.
Las pautas de seguridad de Ledger recuerdan a los usuarios que nunca deben revelar la frase de recuperación a nadie que afirme representar al servicio al cliente.
La empresa enfatiza que sus empleados no solicitarán la frase de recuperación mediante mensajes, llamadas telefónicas o sitios web.
En el anuncio del 15 de octubre, Ledger reconoció que la investigación aún está en curso y que aún quedan más tareas de seguridad por completar.
The manufacturer reaffirms that it will release further details about the attack and the methods used by the criminals once the investigation permits disclosure.