Una investigación sobre el robo de criptomonedas por hasta US$102 millones reveló que algunos monederos físicos de la empresa francesa Ledger habían sido manipulados antes de llegar a sus compradores. El caso involucró a 324 billeteras identificadas en seis redes blockchain. Luego de que usuarios del sudeste asiático denunciaran la desaparición de sus fondos sin haber autorizado transferencias. La compañía confirmó la presencia de un componente electrónico no autorizado en al menos uno de los dispositivos afectados, aunque no verificó el monto total del dinero sustraído.

Según una investigación de Joe Grand y Tibane Labs, algunos dispositivos Ledger Nano X habían sido modificados con pequeños circuitos conectados al sistema que controla la pantalla. Estos componentes podían interceptar la frase de recuperación de 24 palabras que se genera al configurar la billetera y permite acceder a las criptomonedas. Mediante una antena, una tarjeta eSIM y un módulo de comunicación LTE, los atacantes podían recibir esa información. Y utilizarla para acceder a los fondos desde otro dispositivo.

Las sospechas apuntaron a CryptoBilis, uno de los distribuidores autorizados de Ledger en Malasia, Indonesia y Filipinas, aunque su responsabilidad no había sido establecida judicialmente. La empresa francesa sostuvo que no encontró indicios de que sus sistemas o servicios hubieran sido vulnerados. Por lo que la investigación se concentró en posibles manipulaciones físicas de los productos. El caso expuso una modalidad de ataque que permite comprometer dispositivos de seguridad antes de que sus propietarios comiencen a utilizarlos.

Cómo descubrieron los chips espía y qué recomendaron a los usuarios

Las primeras señales de manipulación surgieron en agosto de 2025. Un comprador de Tailandia encontró componentes inusuales dentro de una billetera Ledger y el especialista Joe Grand comenzó a investigar el dispositivo. Tras conocerse el problema, la compañía recomendó que quienes hubieran adquirido productos mediante CryptoBilis durante los 90 días anteriores a la alerta evitaran configurarlos si todavía no los habían utilizado. Para aquellos que ya tenían sus billeteras en funcionamiento, aconsejó evaluar el traslado de sus criptomonedas a otro dispositivo. Uno protegido por una frase de recuperación completamente nueva.