Ledger ha abierto una investigación para aclarar el hackeo de fondos que varios de sus clientes en el sudeste asiático denunciaron la semana pasada. La compañía francesa confirmó el sábado que uno de los dispositivos afectados llevaba un implante de hardware no autorizado en su interior y el domingo aseguró que ya colabora con las autoridades competentes.
Conviene recordar qué vende Ledger para medir la gravedad del asunto. La empresa fabrica monederos físicos, lo que el sector llama hardware wallets: aparatos del tamaño de un llavero que guardan las claves privadas, los códigos que dan acceso a las criptomonedas, sin estar conectados a internet. La promesa es sencilla. Un atacante al otro lado del mundo no puede tocarlas. El problema llega cuando el ataque no viene de internet, sino de la caja.
Los usuarios afectados habían comprado sus dispositivos a CryptoBilis, un revendedor con sede en Kuala Lumpur (Malasia) que no forma parte de la red de distribución autorizada de la firma. Ledger sostiene que fue a lo largo de la semana pasada cuando empezaron a llegar los avisos de pérdidas. El viernes abrió la investigación, el sábado verificó el implante y pidió a quienes hubieran comprado a ese vendedor que no configuraran sus aparatos; el domingo, la empresa confirmó que ya trabaja con las autoridades. CryptoBilis ha dejado de vender monederos de la marca, según la propia Ledger.
Qué se sabe del implante y qué ha confirmado Ledger
La empresa no ha detallado cuánto dinero se ha perdido. Sí lo ha hecho el investigador de blockchain Specter, que cifra en 86 millones de dólares los fondos drenados de los dispositivos afectados. Es una estimación de terceros, no una cifra oficial, y Ledger no la ha respaldado. La compañía tampoco ha concretado cuántos aparatos salieron manipulados: se limita a decir que son ‘limitados’ y que ha contactado con los clientes perjudicados.
Usuarios en redes sociales han publicado fotografías de los aparatos abiertos con componentes añadidos y sostienen que ese implante servía para extraer la clave privada. Nadie lo ha explicado. Ledger no ha detallado el funcionamiento exacto del añadido, ni cómo habría llegado hasta el interior de los dispositivos, antes de salir del circuito oficial.
A quién afecta y cómo actuar si compraste fuera de la web oficial
El consejo de la empresa es taxativo: no comprar monederos a revendedores no autorizados. Su argumento es que nada de lo que venden estos intermediarios funciona bajo las directrices de seguridad de Ledger. La recomendación se puede leer en la web oficial de la compañía, donde también recuerda que el aparato debe llegar precintado y que la frase semilla (las 12 o 24 palabras que permiten recuperar la cartera) tiene que generarse en el propio dispositivo la primera vez que se enciende. Si el monedero llega con esas palabras ya escritas en un papel, algo va mal.
El punto débil de una cartera física nunca fue el cifrado, sino el recorrido que hace el aparato desde la fábrica hasta las manos del comprador.
Quien haya adquirido su Ledger en la tienda oficial o en un distribuidor autorizado no tiene, en principio, motivos para alarmarse. La investigación sigue abierta y la propia compañía admite que aún no sabe cuántos aparatos salieron manipulados de esa cadena paralela. Ese es el problema.
Un año complicado para la seguridad de las carteras físicas
El episodio no llega en un momento cualquiera. En julio, unos atacantes robaron cerca de 120 millones de dólares en bitcoin a usuarios de Coldcard, los monederos de la canadiense Coinkite, aprovechando un fallo de firmware que generaba frases semilla defectuosas y, en la práctica, adivinables. El mes pasado, Trezor reconoció que los datos de casi 81.000 clientes se habían filtrado a través de un socio externo encargado de los envíos.
A la lista se suma el goteo de correos de phishing que han recibido clientes de Ledger después de que su procesador de pagos, Global-e, sufriera un incidente. El cifrado aguanta. Lo que falla es la cadena de suministro. Y ahí el usuario tiene poco margen, porque no puede auditar la fábrica ni el almacén del revendedor.
Durante años, el debate sobre la autocustodia se centró en si el ahorrador medio era capaz de guardar sus claves sin perderlas. Incidentes como este desplazan la pregunta a otro terreno: ¿puede confiar en la caja que le llega por mensajería? La respuesta honesta es que depende de por dónde haya pasado, y que ese dato casi nunca lo tiene. Comprar en el canal oficial no elimina el riesgo, pero lo reduce a un único responsable al que reclamar.
Las próximas semanas dirán cuántos dispositivos había en circulación, si aparecen más revendedores señalados y qué cambia Ledger en sus procesos de verificación. La compañía ha prometido revisar sus protocolos de distribución y anti-manipulación. Es la parte de la historia que todavía no tiene respuesta.
