Alguien se llevó aproximadamente 91 millones de dólares en una sola operación. 203 BTC ingresaron a dos direcciones en el mismo bloque, y en la misma hora, alrededor de 58 millones de dólares en USDT en la red Tron también se movieron. El dinero salió de una serie de billeteras físicas Ledger; las frases de recuperación ya habían sido enviadas el día en que los usuarios encendieron sus dispositivos. Alguien desarmó una Ledger comprada en Malasia y encontró una pequeña placa con eSIM debajo de la pantalla. @MagicalTux publicó fotos del desmontaje el 8 de octubre. La placa tenía un módulo LTE soldado, que permanecía inactivo hasta que el usuario encendía el dispositivo y copiaba uno por uno los 24 términos de recuperación; en ese momento, los términos se enviaban a través de la red móvil. La verificación de autenticidad de Ledger Live no detectó nada: el chip Ledger dentro del dispositivo era auténtico; la manipulación estaba debajo de la pantalla. Amplié esas fotos durante mucho tiempo y los puntos de soldadura eran demasiado precisos para ser producto de un taller artesanal. En Malasia hay una tienda que vende billeteras físicas llamada CryptoBilis. Desde al menos 2022, el sitio web oficial de Ledger la lista como distribuidor autorizado en Malasia, Indonesia y Filipinas. Una tienda legítima, que vendía productos auténticos y había operado con honestidad durante años. Pero en marzo de este año, el equipo fundador vendió toda la empresa. La transacción incluía un acuerdo de confidencialidad: los antiguos accionistas no podían revelar públicamente el cambio de propiedad hasta el 19 de octubre. Para agosto, los registros empresariales mostraban a una sola persona como propietaria al 100%: un tal Jiaming, con domicilio registrado en Heilongjiang. La tienda seguía abierta, el sitio web seguía en línea, el dominio no cambió, y el letrero "Autorizado por Ledger" seguía colgado en su lugar. El excofundador posteriormente afirmó que el antiguo equipo ni siquiera podía acceder al backend de la empresa. Luego llegó el post del desmontaje del 8 de octubre, con 120.000 visitas. 22 horas después de publicado el post, la persona que poseía esas frases de recuperación recolectó todo lo que podía. Aproximadamente siete horas después de transferir los fondos, Ledger anunció que estaba investigando y solicitó a CryptoBilis que suspendiera las ventas y envíos. Ayer, Ledger confirmó que los dispositivos de los usuarios afectados efectivamente contenían hardware no autorizado instalado internamente. Hasta ahora, nadie ha vinculado formalmente a los nuevos propietarios con esos dispositivos manipulados, ni Ledger ha explicado cómo entraron esas placas en los equipos. Pero el camino está claro: no se necesita romper el chip de seguridad ni reverse-enginear el firmware; simplemente compra una marca ya autorizada, aprovecha la reputación acumulada durante tres años por otros, y haz que los dispositivos se comuniquen por sí mismos. Cuando salga el post del desmontaje, vacía todo de una vez. La etiqueta "Distribuidor Autorizado" originalmente reconocía al equipo que fundó la tienda en 2022. La empresa cambió de dueños en marzo, pero la etiqueta sigue colgada en su lugar, y hasta hoy nadie ha vuelto a verificar quién está detrás.
