Un estafador que había acumulado 4,8 millones de dólares engañando a gente con falsas tareas online se ha quedado sin nada. Le han vaciado la cartera. Y no lo ha hecho un grupo de hackers cualquiera: ha sido el mismo tipo de ataque que ha desplumado a miles de compradores de dispositivos Ledger, un incidente que la firma de análisis Chainalysis eleva ya a cerca de 100 millones de dólares.
Conviene separar dos cosas que estos días se han mezclado. Un hardware wallet es una cartera física, parecida a un pendrive, que guarda las claves privadas —la contraseña maestra de tus fondos— fuera de internet. Ledger es el fabricante más conocido de ese tipo de aparatos. El problema no ha estado esta vez en su software ni en sus servidores: los fondos han salido de dispositivos comprados a CryptoBilis, un distribuidor independiente que opera en el sudeste asiático. Dicho de otro modo, el fallo no viajó en el código, viajó en la caja.
El rastro de 60 BTC: un botín dentro de otro botín
En medio de ese desastre apareció el protagonista más incómodo posible. Un presunto estafador perdió 4,8 millones de dólares que había reunido con un task scam, una estafa de tareas. Él no era una víctima cualquiera: formaba parte del problema. Y su botín desapareció igual que el de los compradores legítimos.
El mecanismo de esa estafa es sencillo y funciona demasiado bien. A los reclutados les pagaban por fabricar ventas y reseñas de productos reales, según la reconstrucción publicada por Chainalysis. Cuando llevaban semanas trabajando y querían cobrar, sus saldos aparecían en negativo y les exigían depositar su propio dinero para poder retirar los pagos. Un clásico: la trampa no está en el primer ingreso, está en la primera retirada.
El operador de la red movió lo recaudado a tres direcciones de Ledger el 22 de septiembre. Allí el dinero quedó quieto, sin moverse, hasta que el 9 de octubre una única transferencia lo sacó todo hacia una cartera que ya estaba señalada por alojar fondos robados. En cuestión de minutos, el estafador se convirtió en víctima.
Chainalysis ha vinculado 60 BTC de ese esquema con las cuentas afectadas por el gran drenaje. La cifra no es casual: los investigadores siguen el rastro de billeteras que acumulan historial delictivo, y esas tres lo tenían. El dinero sucio circula por tuberías ya manchadas, lo que facilita el trabajo de quien persigue el lavado y hace casi imposible distinguir después quién estafó a quién.
El dinero ilícito no desaparece: cambia de manos dentro del mismo ecosistema que lo generó y casi siempre acaba en la cartera más fuerte.
A quién afecta de verdad: los compradores de CryptoBilis
El daño real, sin embargo, está en otro sitio. El drenaje masivo afectó a dispositivos vendidos por CryptoBilis en Malasia, Indonesia y Filipinas. Desde el 9 de octubre, compradores que habían pagado el precio completo empezaron a reportar carteras vacías. Las primeras estimaciones hablaban de más de 86 millones de dólares en Ethereum, TRON y Bitcoin. Después, la firma de datos Bitquery elevó el total hasta unos 102 millones: 79,3 millones en TRON, casi todo en USDT —la stablecoin más usada, un token diseñado para valer siempre un dólar—, y 16,8 millones en bitcoin, equivalentes a 203,8 BTC.
La advertencia de Ledger llegó con instrucciones concretas. Quien haya comprado en esa tienda en los últimos 90 días no debería configurar el dispositivo. Quien ya lo hubiera hecho, debía mover sus fondos a una cartera nueva generada con una semilla distinta, es decir, con otra frase de recuperación. La compañía sostiene, en la información difundida a través de su web oficial, que las pérdidas confirmadas siguen limitadas al sudeste asiático y que en revisiones aleatorias practicadas en Europa, Alemania incluida, no han aparecido aparatos manipulados.
En paralelo, Tether ha congelado cerca de 10 millones de dólares en USDT, una medida que solo puede tomar el emisor porque mantiene el control de los contratos de su token. Chainalysis, mientras tanto sigue el lavado a través de Tornado Cash (un mezclador que rompe el rastro de las transacciones), de Zcash (una criptomoneda con privacidad reforzada), de puentes entre redes —los sistemas que trasladan fondos de una cadena a otra— y de conversiones a stablecoins.
La cadena de suministro, el eslabón que casi nadie vigila
Este incidente tiene un precedente que conviene recordar. En 2020, Ledger sufrió una filtración masiva de datos de clientes: nombres, correos y direcciones de compradores acabaron a la venta en foros, y a partir de ahí llegaron campañas de phishing —mensajes que suplantan a la empresa para robar credenciales— e incluso episodios de extorsión física. Aquel golpe no tocó una sola moneda, pero enseñó algo que ahora se repite: el punto débil rara vez está en el cifrado.
La diferencia es que esta vez sí ha habido pérdidas directas. Y el vector es más difícil de detectar, porque un aparato manipulado no da errores ni avisos: funciona con normalidad mientras entrega la clave a un tercero. Comprar una cartera física se parece más de lo que parece a comprar una caja fuerte. Da igual el blindaje si el intermediario que la transporta se queda con una copia de la llave.
Hay tres riesgos que este caso deja sobre la mesa. El primero es la concentración: buena parte de los usuarios europeos compra sus dispositivos a través de revendedores y grandes plataformas, y verificar la cadena de distribución es casi imposible para quien solo ve una caja precintada. El segundo es la irreversibilidad: una transferencia en bitcoin o en TRON no se deshace, así que el margen de reacción se mide en minutos. El tercero es de confianza: cada incidente de de este tipo empuja a parte del público a dejar sus fondos en un exchange, justo lo contrario de lo que pregona la propia industria.
Lo que sí puede mover el panorama es la presión sobre los distribuidores. Si los fabricantes exigen auditorías a sus revendedores o incorporan sistemas de verificación de integridad más visibles, la ventana para manipular un aparato se estrecha. Mientras eso llega, la recomendación práctica sigue siendo la misma de siempre: comprar en canales oficiales, generar la semilla uno mismo y, ante la mínima duda, mover los fondos a una cartera nueva. La lección de esta historia es doble, y ninguna de las dos mitades es agradable: al estafador le robaron lo robado, y a los compradores honestos les costó lo mismo que a él.
