Retiran carteras Ledger en siete mercados asiáticos por chip espía

Siete mercados quedan inactivos

En una actualización sobre el incidente publicada el 13 de octubre, el fabricante francés de carteras de hardware declaró:

[We are] que se pide a los distribuidores y revendedores del sudeste asiático y Hong Kong que suspendan las ventas de dispositivos Ledger mientras se lleva a cabo la investigación. Esto incluye retirar los productos de las estanterías.

La suspensión afecta a Indonesia, Singapur, Tailandia, Filipinas, Vietnam, Malasia y Hong Kong. Se trata de una ampliación significativa con respecto a la respuesta inicial, que se centraba en un único distribuidor regional.

Ledger se ha mostrado cautelosa a la hora de limitar el alcance de su admisión, señalando que, a medida que la investigación ha avanzado, los únicos incidentes confirmados siguen limitándose al sudeste asiático. La empresa aclaró además:

No hemos verificado ninguna pérdida de fondos relacionada con un dispositivo comprado en otro lugar. No hay indicios de que la infraestructura, los sistemas o los servicios de Ledger, ni su canal de venta directa, se hayan visto comprometidos.

Por último, la empresa ha indicado que Ledger Donjon, su equipo interno de investigación en seguridad, analizará los dispositivos que reciba para averiguar quién manipuló el hardware y en qué punto de la cadena de distribución ocurrió.

Cómo se llegó a la saga del chip espía de Ledger

La crisis salió a la luz el 9 de octubre, cuando los usuarios denunciaron que se estaban vaciando sus carteras de criptomonedas compradas a través de Cryptobilis, un distribuidor que opera en el sudeste asiático. Ledger pidió a Cryptobilis que suspendiera todas las ventas y envíos, y desde entonces las pérdidas estimadas ascienden a 93,4 millones de dólares.

Posteriormente, el 10 de octubre, Ledger confirmó la presencia de un implante de hardware oculto en el dispositivo de uno de los usuarios afectados. El implante podía leer la frase de recuperación de 24 palabras que se muestra durante la configuración y transmitirla a los atacantes a través de LTE utilizando una eSIM.

El susto se extendió entonces a Europa y un usuario afirmó haber encontrado un implante oculto en un Ledger comprado en una tienda Mediamarkt de Alemania, mientras que el exdirector ejecutivo de Mt. Gox, Mark Karpeles, señaló que la antena estaba etiquetada como «versión euroasiática». El 13 de octubre, Mediamarkt Saturn dejó de vender por completo los dispositivos Ledger, una medida que la empresa afirmó respaldar, tras el informe sobre un implante detectado por un cliente en Alemania. Ledger afirmó que no se había notificado ninguna pérdida de fondos en ese caso.

Los proveedores de la competencia también se han puesto en alerta: Trezor ha anunciado que pondrá fin a algunas colaboraciones con distribuidores a partir del 1 de enero de 2027 para crear una red «lo suficientemente pequeña como para que podamos evaluar y comprobar a cada socio que quede», aunque insistió en que no hay pruebas de que sus propios dispositivos se hayan visto comprometidos.

Qué deben hacer ahora los compradores de Ledger

Los clientes que hayan comprado a Cryptobilis en los últimos 90 días no deben configurar los dispositivos sin usar, y quienes ya lo hayan hecho deben trasladar los fondos a un nuevo monedero con una nueva frase de recuperación. Los usuarios que tengan dudas sobre cualquier dispositivo pueden ponerse en contacto con Ledger a través de su canal oficial de asistencia.

La empresa también advirtió de que los estafadores suelen aprovecharse de incidentes como este y, posteriormente, publicó la siguiente advertencia:

«Ledger nunca te llamará, ni te enviará mensajes directamente, ni te pedirá tu frase de recuperación de 24 palabras. Muchas de las afirmaciones y cifras que circulan por Internet no están verificadas».