Ledger confirmó que uno de los dispositivos de cartera vendidos a través del distribuidor malasio CryptoBilis contenía una implantación de hardware no autorizada, después de que usuarios informaran de la pérdida de activos cripto de dispositivos que habían comprado a través del distribuidor, que opera en el sudeste asiático.
Ledger inició la investigación el 9 de octubre de 2026 y pidió a CryptoBilis que detuviera la venta y el envío de sus dispositivos. Al día siguiente, la empresa reconoció la existencia de manipulación de hardware en al menos un dispositivo y posteriormente afirmó, en una actualización, que todos los informes de retiradas inesperadas que había revisado estaban relacionados con dispositivos vendidos a través de CryptoBilis, y describió el volumen de casos como «limitado». La empresa todavía no ha determinado cuándo ni dónde se modificaron los dispositivos.
¿Cómo funcionaba la implantación?
Informes de investigadores indicaron que los dispositivos afectados, atribuidos al modelo Ledger X, contenían un circuito malicioso oculto dentro de la carcasa. Según el análisis de Mark Karpelès y Tibane Labs, la implantación estaba diseñada para capturar las salidas de la pantalla y las pulsaciones de los botones con el objetivo de identificar la frase de recuperación, y después enviarla al atacante mediante una conexión LTE usando una tarjeta eSIM.
Los investigadores de Tibane Labs identificaron dos versiones de la implantación. En una de las muestras, la batería original fue sustituida por otra más pequeña para dejar espacio a un circuito que incluía un microcontrolador ST STM32G431KBU6, un módulo LTE y una tarjeta eSIM de aproximadamente 2×2 milímetros. La segunda versión aprovechaba el espacio situado debajo de la pantalla OLED y funcionaba con la batería original. En ambas muestras aparecieron cables de antena junto a la parte superior del dispositivo como indicio físico de la modificación, mientras que en una de las muestras se raspó la numeración de algunos componentes para ocultar su identidad.
¿Por qué es importante esta noticia?
El incidente revela los límites de confiar únicamente en la integridad de los componentes de seguridad internos. La implantación no necesita necesariamente vulnerar directamente el Secure Element; puede observar lo que se muestra al usuario y lo que introduce mediante los botones, y después extraer los datos a través de un canal de comunicación independiente. Ledger afirma que el mecanismo Genuine Check puede verificar la autenticidad del dispositivo, pero no detecta las adiciones de hardware si el Secure Element original permanece intacto.
En la práctica, Ledger recomendó a quienes hubieran comprado un dispositivo a CryptoBilis y aún no hubieran comenzado a configurarlo que no lo encendieran. Quienes hubieran completado la configuración deberían considerar transferir los activos a un nuevo dispositivo de firma utilizando una nueva frase de recuperación. Esta recomendación no solo aborda los dispositivos sospechosos, sino que también presupone que la frase de recuperación podría haberse visto comprometida.
¿Qué sigue sin resolverse?
Ledger no ha revelado oficialmente los modelos de los dispositivos afectados, ni ha identificado a la entidad que realizó la modificación o el punto de la cadena de suministro en el que se introdujo. Las muestras analizadas por los investigadores apuntan a dispositivos comprados a vendedores vinculados a China y enviados desde Malasia, pero esto por sí solo no demuestra la responsabilidad de ningún vendedor concreto. Según la información disponible, no hay indicios de la participación de otros distribuidores.
Ledger recomienda comprar a través de canales autorizados y pide a sus distribuidores que no vuelvan a poner en inventario los productos devueltos. El incidente demuestra que la integridad de la cadena de suministro sigue siendo una parte fundamental de la seguridad de las carteras de hardware, incluso cuando los mecanismos de verificación del software y el dispositivo original parecen estar intactos.