Continúan saliendo datos sobre el caso de los Ledger manipulados físicamente y el asunto parece bastante más complejo de lo que se pensaba al principio.
Por un lado, Bitquery ha actualizado su análisis on-chain y estima que fueron robados unos
102 millones de dólares de 335 wallets, repartidas entre seis redes (TRON, Bitcoin, Ethereum, Solana, BNB Chain y Polygon).
Según su investigación,
Tether habría conseguido congelar unos 10 millones de USDT y, a fecha del 16 de octubre, alrededor de 81 millones de dólares todavía podían seguirse on-chain.
Importante: esos
102 millones no son una cifra oficial confirmada por Ledger, sino una estimación de Bitquery siguiendo las wallets y movimientos en blockchain.
Los implantes podrían haber aparecido en otros distribuidores
Mark Karpelès, CEO de Karpelès Lab y antiguo CEO de Mt. Gox, asegura haber encontrado implantes similares en dispositivos comprados a
otros dos distribuidores autorizados de Ledger, uno en Singapur y otro en Alemania.
Según Karpelès, uno apareció en un Ledger Flex comprado en Metapod, en el aeropuerto de Changi (Singapur), y otro en un Nano X comprado en MediaMarkt en Alemania.
También afirma que las versiones más recientes del implante parecen bastante más preparadas para instalarse a escala, pasando de modificaciones más artesanales a placas diseñadas específicamente para encajar en los dispositivos.
Esto todavía hay que cogerlo con cautela porque
Ledger no ha confirmado que esos dispositivos formen parte del mismo ataque relacionado con CryptoBilis.
De hecho, Ledger afirma que envió equipos a Alemania, compró dispositivos directamente en tiendas y analizó también muestras procedentes de almacenes, y que
todas las unidades examinadas estaban limpias.
Ledger mantiene además que los robos que ha podido relacionar directamente con el incidente del 9 de octubre corresponden a dispositivos vendidos mediante CryptoBilis.
Ledger ya habría recibido avisos meses antes
Esta es probablemente la novedad más interesante.
Según Cointelegraph, Karpelès afirma conocer
al menos dos casos en los que se avisó a Ledger sobre dispositivos manipulados desde diciembre de 2025, meses antes de los robos de octubre.
Además, el investigador de seguridad Joe Grand declaró a Cointelegraph que el
4 de marzo de 2026 avisó directamente a Ledger sobre un implante malicioso encontrado en un Nano X.
Ese dispositivo había sido comprado en Lazada Tailandia en agosto de 2025.
Según Grand, Ledger reconoció el hallazgo y le comunicó que lo estaba investigando internamente. Grand y Karpelès cuestionan ahora por qué esos avisos anteriores no terminaron provocando una advertencia pública más amplia a los usuarios.
Aquí también hay un matiz importante: el vendedor de aquel Nano X aparecía como
“LedgerXXX” en Lazada, y actualmente no figura entre los distribuidores autorizados de Ledger en Tailandia. Cointelegraph señala que no está claro cuál era exactamente su condición cuando se compró el dispositivo.
Por tanto, esto
no demuestra que Ledger supiera que CryptoBilis estaba comprometido ni que conociera de antemano el robo que ocurriría en octubre.
Lo que sí indica es que Ledger había recibido información sobre la existencia de dispositivos físicamente manipulados bastante antes de que estallara el incidente actual.
¿Cómo funcionaba el ataque?
Lo que sí está confirmado oficialmente por Ledger es el funcionamiento general del implante analizado en el caso CryptoBilis.
Los atacantes compraban dispositivos Ledger auténticos, los abrían, instalaban componentes electrónicos ocultos y posteriormente los volvían a introducir en la cadena de distribución.
El implante podía interceptar las
24 palabras de recuperación que aparecían en la pantalla durante la configuración y transmitirlas mediante comunicación móvil/LTE.
De esta forma no necesitaban romper directamente el Secure Element ni comprometer Ledger OS o los servidores de Ledger.
Ledger insiste en que sus chips, sistema operativo y servidores
no fueron comprometidos, y describe lo ocurrido como un ataque localizado al canal de distribución después de que los dispositivos hubieran salido de su control.
Resumiendo lo que se sabe hasta ahora
- $102 millones / 335 wallets: estimación de Bitquery, no cifra oficial confirmada por Ledger.
- $10 millones en USDT congelados: según el seguimiento de Bitquery.
- CryptoBilis: continúa siendo el distribuidor relacionado con los robos confirmados por Ledger.
- Singapur y Alemania: Karpelès asegura haber encontrado implantes en dispositivos procedentes de otros distribuidores autorizados, pero Ledger todavía no los ha relacionado oficialmente con los robos.
- Avisos anteriores: Karpelès habla de advertencias desde diciembre de 2025 y Joe Grand asegura haber comunicado directamente a Ledger un Nano X manipulado el 4 de marzo de 2026.
- Sistemas de Ledger: hasta ahora no hay evidencias de que el Secure Element, Ledger OS o los servidores de la compañía hayan sido comprometidos.
Para mí, la pregunta interesante ahora es hasta qué punto Ledger conocía el problema de los implantes antes de octubre y si, viendo los avisos anteriores, debería haber advertido antes a sus usuarios.
Eso no significa que conocieran el ataque de CryptoBilis de antemano, pero sí parece que el riesgo de manipulación física de dispositivos ya había llegado a sus manos meses antes.
Fuentes:
Ledger — respuesta oficial sobre el ataque:
https://support.ledger.com/article/Ledger-s-Response-to-the-Hardware-Implant-Attack
Bitquery — análisis on-chain y estimación de $102M / 335 wallets:
https://www.bitquery.io/investigations/ledger-cryptobilis-hack
Cointelegraph — avisos sobre dispositivos manipulados desde 2025 y comunicación de Joe Grand a Ledger:
https://cointelegraph.es/news/ledger-early-implant-warnings-mark-karpeles
DiarioBitcoin — Karpelès cuestiona la respuesta de Ledger ante las alertas anteriores:
https://www.diariobitcoin.com/estaf...ledger-ante-alertas-por-implantes-maliciosos/
Unchained — implantes encontrados por Karpelès en dispositivos de otros distribuidores:
https://unchainedcrypto.com/mark-ka...-in-devices-from-2-more-authorized-resellers/
BleepingComputer — investigación del ataque y medidas sobre los distribuidores:
https://www.bleepingcomputer.com/ne...ware-wallet-spy-implant-behind-crypto-thefts/
