Se han encontrado implantes en billeteras de hardware de los dispositivos Ledger y Trezor vendidos a través de Mediamarkt y revendedores del sudeste asiático: $93.4M robados. Cómo funciona el ataque, por qué los Elementos Seguros no protegen contra él y qué significa esto para la custodia de criptomonedas.
Tu billetera de hardware puede ya estar comprometida, y la industria no quiere que sepas por qué
Durante años, el consejo ha sido simple: si posees criptomonedas importantes, compra una billetera de hardware. No de software. No un exchange. Un dispositivo dedicado con un Elemento Seguro, aislado de tu computadora, diseñado para que tus claves privadas nunca salgan del chip. La industria de la seguridad construyó toda una cultura alrededor de esta prescripción. Ledger, Trezor, Coldcard: estos nombres se volvieron sinónimos de seguridad. La comunidad repetía el catecismo: no tus claves, no tus monedas. El dispositivo era la última línea de defensa.
Esa línea ha sido cruzada. Y la violación no fue una explotación de software, un ataque de phishing ni una vulnerabilidad de firmware que un parche pudiera solucionar. Fue un destornillador.
Durante la semana pasada, el mundo de las criptomonedas absorbió una de las revelaciones de seguridad más inquietantes en su historia relativamente corta: implantes de hardware, es decir, hardware físico real, plantado dentro de las carcasas de las billeteras de hardware, han estado robando criptomonedas a usuarios reales. Las pérdidas estimadas ahora ascienden a $93.4 millones en aproximadamente 471 direcciones, según el análisis onchain de Yfarmx y Bitquery. El método principal del atacante: capturar la frase de recuperación de 24 palabras en el momento de la inicialización del dispositivo, y luego transmitirla a través de una red celular en vivo a un servidor controlado por los ladrones. No se necesita ninguna clave criptográfica. No se falsifica ninguna firma. Solo un segundo microcontrolador y una eSIM, escondidos dentro de la carcasa.
Los objetivos incluían a Ledger, el líder del mercado, cuyos dispositivos resultaron comprometidos a través de revendedores autorizados en el sudeste asiático y, más preocupante, a través de Mediamarkt Saturn, el minorista de electrónica de consumo más grande de Europa, en Alemania. El fabricante rival Trezor, largamente posicionado como la alternativa consciente de la privacidad, reconoció el mismo día que también había descubierto implantes en dispositivos vendidos por revendedores de terceros, llevando el número total de marcas de billeteras de hardware afectadas a dos.
La historia plantea una pregunta que va mucho más allá de este incidente específico: si el Elemento Seguro no puede ser de confianza porque no es lo único dentro de la caja, ¿cuál es la superficie de ataque real para una billetera de hardware? Y dado que el ataque funciona independientemente de si el chip principal del dispositivo es seguro, ¿se necesita reconsiderar toda la categoría de "billetera de hardware"?
Cómo funciona el ataque — y por qué derrota completamente el modelo de seguridad
Para entender lo que sucedió, necesitas entender lo que realmente es una billetera de hardware — y lo que la mayoría de las personas asumen incorrectamente que es. Una billetera de hardware moderna como la Ledger Nano X contiene dos microcontroladores separados. El primero es el Elemento Seguro: un chip dedicado y resistente a la manipulación certificado según estándares como Common Criteria o SESIP, cuya única función es generar claves criptográficas, firmar transacciones y proteger la frase semilla. El segundo es un microcontrolador de propósito general que maneja todo lo demás: la pantalla, los botones, la comunicación USB o Bluetooth con la computadora host, y el firmware que gestiona la interfaz de usuario.
El modelo de seguridad se basa por completo en la suposición de que solo el Elemento Seguro maneja la frase semilla. El segundo microcontrolador, que a menudo ejecuta un chip ARM Cortex-M sin resistencia especial a la manipulación, se considera no confiable. Se comunica con el Elemento Seguro a través de un protocolo definido, pero nunca conoce la semilla. Los dos chips están separados física y lógicamente. Si el segundo chip es comprometido, la semilla permanece segura. Esta es la suposición fundamental de toda la industria de las carteras de hardware.
Los implantes encontrados tanto en los dispositivos Ledger como en Trezor atacan exactamente esta suposición, no rompiendo el Elemento Seguro, sino evitándolo por completo. En los implantes de Ledger, los investigadores de la división de seguridad propia de Ledger, conocida como Donjon, encontraron un segundo microcontrolador instalado dentro de la carcasa del dispositivo, conectado al bus de la pantalla. Durante la inicialización del dispositivo, el momento exacto en que Ledger genera una nueva frase de recuperación de 24 palabras y la muestra al usuario, el microcontrolador del implante observa los datos que viajan hacia la pantalla, decodifica cada palabra a medida que aparece, la almacena en la memoria integrada y luego transmite la frase semilla completa a los atacantes a través de LTE utilizando una eSIM aprovisionada incrustada en la placa del implante. Toda la operación es invisible para el sistema operativo del dispositivo y para cualquier verificación de integridad que el dispositivo realice.
Críticamente, el implante no modifica el Elemento Seguro ni el sistema operativo de Ledger. No altera las transacciones ni las firmas. Permanece pasivo hasta la inicialización y luego se activa. Dado que el Elemento Seguro nunca es tocado, las propias verificaciones de Ledger, los mecanismos que el dispositivo utiliza para confirmar que no ha sido manipulado, pasan sin señalar nada inusual. El ataque funciona precisamente porque el implante es una segunda computadora, insertada junto a la legítima, que observa todo lo que el usuario hace con su propio hardware.
Los implantes de Trezor operaban de manera algo diferente, reflejando las diferencias arquitectónicas entre los dos productos. Dado que el código de Trezor es completamente de código abierto, un punto que Trezor ha citado durante mucho tiempo como una ventaja de transparencia, los atacantes pudieron obtener el firmware, modificarlo para incluir frases semilla pregeneradas conocidas por los atacantes e instalarlo en un microcontrolador de reemplazo. El dispositivo modificado luego "generaba" una frase semilla para el usuario, pero la frase era una que los atacantes ya habían registrado. Debido a que el firmware malicioso ejecutaba su propia versión del código del dispositivo, necesitaba pasar las verificaciones de integridad de software de Trezor; lo hacía ejecutando primero una verificación de integridad de firmware legítima contra una copia del firmware real almacenada en una tarjeta microSD externa, antes de permitir que el comportamiento malicioso tomara el control. La arquitectura de código abierto que Trezor promocionaba como un mecanismo de confianza se convirtió, en este contexto, en una hoja de ruta para los atacantes.
En ambos casos, Ledger y Trezor, los implantes derrotaron el modelo de seguridad apuntando al momento de la inicialización en lugar del momento de la firma. La industria pasó una década reforzando la capa de firma: guardas de no reentrancia, claves vinculadas al hardware, certificación de Elemento Seguro. El paso de generación de la frase semilla se consideraba seguro porque ocurría dentro del chip certificado. Esa suposición era incorrecta, no porque el chip estuviera roto, sino porque el chip no era lo único en la habitación.
Joe Grand encontró esto en marzo. Ledger no hizo nada.
El capítulo más dañino de esta historia puede no ser el robo en sí, sino lo que ocurrió antes. Joe Grand, un reconocido hacker de hardware que ha realizado ingeniería inversa de todo, desde máquinas arcade hasta dispositivos médicos, comenzó a investigar las carteras Ledger en agosto de 2025 después de que un usuario de Reddit informara haber encontrado circuitos inesperados dentro de una Nano X comprada en un mercado en línea de Tailandia. El usuario envió el dispositivo a Grand, quien confirmó la implantación: una placa adicional con un módulo LTE, una eSIM y una antena, oculta dentro de la carcasa del dispositivo.
Grand compró ocho carteras más a varios vendedores en línea del sudeste asiático, todas de lo que describió como fuentes sospechosas e inverificables en Lazada, la plataforma de comercio electrónico propiedad de Alibaba, y descubrió que cuatro de ellas estaban comprometidas con implantes similares. Notificó a Ledger por correo electrónico el 4 de marzo de 2026 y tuvo una llamada de Zoom con su equipo. Posteriormente, realizó dos presentaciones en conferencias, en Tropicon en abril y en Hardwear.IO en mayo, y publicó sus diapositivas públicamente en línea.
La respuesta de Ledger fue, según relata Grand, decepcionante. La empresa le dijo que investigaría para determinar quién estaba detrás de los implantes, pero no se involucró sustancialmente con sus hallazgos. Grand afirmó que no recibió ningún seguimiento significativo durante meses, y cuando finalmente preguntó, un representante de Ledger le dijo que la empresa no había encontrado pruebas de que alguien hubiera utilizado los implantes para robar criptomonedas. No hubo divulgación pública. Ninguna advertencia a los clientes. Ningún aviso. El principal fabricante de carteras de hardware del mundo había sido informado por un destacado investigador de seguridad de que sus dispositivos estaban siendo falsificados con hardware de vigilancia activo, y optó por tratarlo como una curiosidad aislada.
La situación escaló después de que Mark Karpeles, el ex CEO de Mt. Gox, el exchange de Tokio que colapsó en 2014 con la pérdida de 850.000 bitcoin, encontrara la investigación de Grand en línea en septiembre de 2026 y decidiera probar la hipótesis él mismo. Karpeles compró dos carteras Ledger y encontró iteraciones más sofisticadas del implante que las documentadas por Grand. Publicó sus hallazgos en línea. La historia se extendió rápidamente por la comunidad cripto. En pocos días, un atraco coordinado drenó aproximadamente $93.4 millones en criptomonedas de carteras conectadas a dispositivos vendidos por el revendedor del sudeste asiático Cryptobilis.
El ataque pudo haber sido precipitado por la propia divulgación. La inteligencia blockchain sugiere que los atacantes habían estado esperando con los dispositivos comprometidos, quizás durante meses, acumulando carteras con grandes saldos antes de actuar. Una vez que las noticias sobre los implantes comenzaron a extenderse ampliamente, los ladrones parecen haberse apresurado a extraer fondos de tantas carteras comprometidas como fuera posible antes de que los propietarios pudieran responder.
Algunos en la comunidad han elogiado a Karpeles por exponer una operación que de otro modo podría haber pasado desapercibida indefinidamente. Su historial con Mt. Gox añade un matiz irónico: el hombre que no logró proteger los fondos de miles de usuarios de Bitcoin en 2014 puede haber sido instrumental para prevenir un robo aún mayor en 2026.
Los revendedores autorizados fueron comprometidos, y esa es la parte más alarmante
Los implantes que Grand encontró en 2025 estaban todos en billeteras compradas a vendedores no autorizados y poco confiables, el escenario que cada fabricante de billeteras de hardware advierte contra. El consejo estándar: comprar solo desde el sitio web del fabricante o de revendedores autorizados, se presentó como una protección suficiente. En las semanas siguientes a la divulgación, ese consejo se mantuvo en el sentido de que las billeteras compradas a través de canales reputables parecían limpias.
Luego la historia cambió. El 9 de octubre de 2026, Ledger reveló que se estaban drenando fondos de billeteras vendidas a través de Cryptobilis, un revendedor autorizado de Ledger que opera en Malasia, Indonesia y Filipinas. Un análisis on-chain de Bitquery rastreó las pérdidas a aproximadamente 311 direcciones únicas, por un total de aproximadamente $92.9 millones. El análisis de Yfarmx situó la cifra en $93.4 millones a través de 471 direcciones. Ambos análisis coincidieron en que el drenaje se ejecutó en una única operación coordinada, con fondos movidos a través de siete blockchains — Tron, Bitcoin, Ethereum, BNB Chain, Polygon, Base y Arbitrum — antes de ser canalizados a través de puentes cross-chain, THORChain y Tornado Cash, en lo que Chainalysis describió como una "operación sofisticada de lavado cross-chain".
Más preocupante fue un informe separado de un usuario alemán que compró una Ledger Nano X en una tienda MediaMarkt en agosto de 2026. El cliente compró una segunda billetera en una ubicación diferente de MediaMarkt durante el mismo viaje y encontró un implante en esa también. MediaMarkt Saturn, el minorista de electrónica de consumo más grande de Europa, opera en diez países europeos con aproximadamente 1,000 tiendas. Está listado como un revendedor autorizado de Ledger en Austria, Alemania, España y Turquía. La compañía ha suspendido desde entonces la venta de billeteras de hardware Ledger pendiente de investigación.
La declaración posterior de Ledger sugirió una posible explicación, y una inquietante: los implantes pueden haber ingresado a la cadena de suministro no a través de la falsificación directa de la fabricación propia de Ledger, sino a través de revendedores autorizados que obtuvieron dispositivos de fuentes ilegítimas o que reabastecieron productos devueltos sin la verificación adecuada. "Estamos recordando a nuestros revendedores y distribuidores autorizados que obtengan productos solo a través de canales autorizados y nunca reabastezcan productos devueltos", escribió Ledger en una declaración pública. "Esta es una amenaza continua que no solo afecta a Ledger, sino a todo el ecosistema".
En otras palabras, la amenaza no es que los atacantes puedan comprometer una fábrica o forjar un dispositivo. La amenaza es que un revendedor legítimo, uno en quien confían miles de clientes europeos que entraron en una tienda MediaMarkt y compraron una caja sellada del estante, pueda ser un vector para un ataque a la cadena de suministro que ninguna actualización de software puede solucionar.
Trezor, demasiado: Una historia de dos problemas diferentes
El 13 de octubre de 2026, el mismo día que la situación de Ledger dominaba las redes sociales de criptomonedas, Trezor emitió un comunicado en el que anunciaba que reduciría su red de distribuidores autorizados "por si acaso". El director comercial Danny Sanders escribió que "no había ni una sola prueba de que los dispositivos Trezor hubieran sido comprometidos". Este comunicado fue, como mucho, incompleto.
Joe Grand había notificado a Trezor en agosto de 2026, antes del anuncio público de la empresa, sobre el hallazgo de un implante en un Trezor Model T comprado a través de Facebook Marketplace en Canadá, y un segundo implante en un Trezor One obtenido de una tienda de TikTok en agosto. En el caso del Trezor One, el comprador había notado una transferencia de aproximadamente $50 desde su cuenta antes de sospechar. Ambos dispositivos eran modelos descontinuados que Trezor aún admite con actualizaciones de software hasta 2031 y actualizaciones de seguridad hasta 2036, pero que ya no fabrica.
La respuesta inicial de Trezor a Grand fue cortés y detallada: el equipo técnico de la empresa identificó correctamente el implante como similar a los dispositivos falsos descubiertos en los mercados rusos en 2022-2023, señaló correctamente el microcontrolador reemplazado y el firmware modificado, y describió correctamente el uso de una tarjeta microSD externa para pasar las verificaciones de integridad, pero no divulgó públicamente el hallazgo. Cuando Grand escribió nuevamente a Trezor a principios de septiembre preguntando sobre la publicación de sus hallazgos, el representante de la empresa le pidió un aviso previo para que pudiera preparar un comentario público. Por lo tanto, el posterior comunicado público de Trezor que afirmaba no haber evidencia de compromiso de dispositivos fue sorprendente, dado que la empresa había estado en comunicación directa con Grand sobre exactamente ese escenario durante dos meses.
La superficie de ataque de Trezor es arquitectónicamente diferente a la de Ledger, lo que crea un perfil de riesgo diferente. Dado que el firmware de Trezor es de código abierto, la barrera de entrada para un atacante es más baja: no necesitan ingeniería inversa de un sistema propietario, solo necesitan descargar el código. Pero el contraargumento es que el código abierto también significa que cualquiera puede auditar el código, y los usuarios de Trezor que saben lo que están haciendo pueden verificar el binario que se ejecuta en su dispositivo. Sin embargo, para la mayoría de los usuarios, la mayoría de los cuales simplemente conectan su Trezor y siguen el asistente de configuración, la arquitectura de código abierto no proporciona una protección significativa contra un microcontrolador malicioso preinstalado, porque el paso de verificación requiere conocimientos técnicos y una acción deliberada que la experiencia de usuario estándar no fomenta.
La pregunta de $93.4 millones: ¿Se puede recuperar?
Las empresas de inteligencia blockchain han estado rastreando el movimiento de fondos robados desde la extracción del 9 de octubre. Chainalysis confirmó que estaba "investigando informes de fondos robados a titulares de productos Ledger" y reveló que sus analistas habían identificado una sofisticada operación de lavado de dinero entre cadenas. Bitquery rastreó los fondos a través de siete blockchains separadas e identificó un patrón consistente con el lavado de dinero profesional: fragmentación rápida, puenteo entre cadenas para ocultar el rastro y mezcla a través de protocolos diseñados para romper el enlace onchain entre remitente y receptor.
La recuperabilidad, en esta etapa, parece poco probable. THORChain — el protocolo de liquidez descentralizado entre cadenas — ha congelado previamente fondos robados en algunas circunstancias, pero su capacidad para actuar está limitada por el diseño del protocolo y la velocidad a la que se pueden mover los activos robados. Tornado Cash, utilizado en la cadena de lavado, está diseñado específicamente para romper la trazabilidad onchain. Tether y Circle congelaron aproximadamente $318,000 de los activos robados — menos del 0,1% del total — porque los activos robados estaban principalmente en XRP, Ethereum y Bitcoin, no en las stablecoins que los emisores pueden congelar.
Ledger ha activado su Fondo de Protección al Usuario, que actualmente contiene aproximadamente $464 millones, y ha indicado que tiene la intención de compensar a los usuarios afectados. La respuesta de la compañía al incidente — compensación a través de un fondo anunciado en 2023 tras una filtración de datos previa — ha sido más sustancial que la respuesta típica de la industria ante un incidente de seguridad. Pero el fondo fue diseñado para escenarios de filtración de datos, no para la compromiso de dispositivos físicos, y persisten preguntas sobre el alcance de la cobertura y la velocidad de los desembolsos.
El problema más profundo: las carteras de hardware resolvieron el modelo de amenaza incorrecto
Los investigadores de seguridad y criptógrafos han debatido durante mucho tiempo el modelo de amenaza para la custodia personal de criptomonedas. La formulación clásica — "protege tus claves privadas de los atacantes remotos" — llevó directamente a la categoría de carteras de hardware: dispositivos diseñados para generar y almacenar claves sin conexión, firmando transacciones sin exponer nunca la clave a una computadora conectada a la red. El modelo de amenaza asumía que el atacante era remoto: un hacker, malware, un sitio de phishing, un exchange comprometido.
El ataque demostrado durante las últimas dos semanas apunta a un actor de amenaza completamente diferente: un adversario físico que puede modificar el dispositivo antes o durante el proceso de la cadena de suministro, antes de que el usuario lo reciba. Esta no es una nueva categoría de amenaza. Los ataques a la cadena de suministro en hardware son tan antiguos como el hardware mismo. Pero la industria de las carteras de hardware, en su prisa por resolver el modelo de amenaza digital, parece haber subestimado el modelo físico.
La incómoda implicación es que la seguridad de una billetera de hardware es tan sólida como la integridad física de toda la cadena de distribución entre el suelo de la fábrica y las manos del cliente, incluidos cada punto de control aduanero, almacén, distribuidor regional y estante minorista. Esa cadena es larga, involucra a docenas de entidades en múltiples países y está formada en gran parte por personas que no tienen forma de detectar un cambio de microcontrolador o una antena incrustada en una carcasa de plástico.
El Elemento Seguro, los estándares de certificación, el diseño desconectado de la red: todas estas siguen siendo protecciones significativas contra ataques digitales. Pero contra un adversario de la cadena de suministro físico capaz de abrir una caja sellada, reemplazar un chip, volver a sellar la carcasa con un empaque indistinguible y venderlo a través de un distribuidor autorizado, el Elemento Seguro es irrelevante. La frase semilla se ve comprometida antes de que el dispositivo se inicialice.
Lo que los usuarios pueden hacer y lo que la industria necesita cambiar
Para los usuarios que ya poseen billeteras de hardware compradas a vendedores de terceros, la situación es genuinamente difícil. El aviso de Ledger es claro: los clientes que compraron a Cryptobilis o que tienen dispositivos comprados por cualquier canal que no sea directo no deben inicializar esos dispositivos, no deben ingresar frases semilla existentes en ellos y deben transferir fondos a un dispositivo comprado directamente al fabricante o a un distribuidor autorizado verificado con una cadena logística conocida y limpia. Este consejo, aunque correcto, crea una fricción y un costo significativos para los usuarios que pueden haber mantenido activos en la misma billetera durante años.
Para la industria, el incidente exige cambios estructurales que vayan más allá de las actualizaciones de firmware o las auditorías de revendedores. Entre los investigadores de seguridad han circulado varias propuestas: atestación de hardware a nivel de fabricación, con firmas criptográficas aplicadas en la fábrica y verificables por el usuario antes de la inicialización; la reubicación de la generación de la frase semilla en un chip dedicado y físicamente aislado, sin capacidad de comunicación externa ni acceso a bus externo; la eliminación de microcontroladores de propósito general en la ruta de visualización y botones, de modo que ningún dato salga del Elemento Seguro incluso en forma de visualización; y el establecimiento de un protocolo de respuesta a incidentes a nivel de la industria para el compromiso de la cadena de suministro, incluidos plazos de divulgación obligatorios y mecanismos de compensación.
Ninguna de estas soluciones es simple, y todas imponen costos —en complejidad de fabricación, en costo del dispositivo, en experiencia de usuario— que la industria de las billeteras de hardware ha sido históricamente reacia a absorber. La alternativa es aceptar que una billetera de hardware es un componente útil pero fundamentalmente limitado en una estrategia de custodia: una protección valiosa contra amenazas digitales remotas, pero no contra un adversario físicamente determinado con acceso a la cadena de suministro.
La ironía es que la respuesta de la industria a este incidente probablemente sea una combinación de actualizaciones de firmware, auditorías a los revendedores y una expansión de los fondos de protección al usuario, todo lo cual aborda las consecuencias de un ataque físico sin endurecer materialmente el dispositivo contra la superficie de ataque físico que lo hizo posible. El modelo de amenaza ha cambiado. La industria lo sabe. La pregunta que importa ahora es si actuará en base a ese conocimiento antes de que desaparezcan otros 93 millones de dólares.
Preguntas frecuentes
¿Se hackeó el Elemento Seguro en los dispositivos Ledger? No. El Elemento Seguro, el chip certificado responsable de la generación de claves y la firma de transacciones, no fue comprometido en ninguno de los casos documentados. Los implantes apuntaron al microcontrolador secundario no seguro y al bus de visualización del dispositivo, capturando las frases semilla durante el proceso de inicialización antes de que llegaran al Elemento Seguro. Esta es precisamente la razón por la cual las propias verificaciones de integridad de Ledger no detectaron la vulneración.
¿Cómo lograron los atacantes instalar hardware dentro de dispositivos sellados? Los implantes parecen haber ingresado a la cadena de suministro a través de canales de revendedores, no a través de la fabricación directa de Ledger. En los casos del sudeste asiático, los dispositivos fueron obtenidos de distribuidores regionales autorizados y modificados antes de ser revendidos. En los casos europeos, el mecanismo sigue bajo investigación, pero la declaración pública de Ledger sugirió que los dispositivos devueltos pueden haberse reabastecido sin verificación, o que los dispositivos fueron obtenidos de canales ilegítimos a pesar del estatus autorizado del revendedor.
¿Son los dispositivos Trezor más seguros que los dispositivos Ledger porque son de código abierto? La respuesta es más complicada de lo que parece. El firmware de código abierto de Trezor significa que el código está disponible públicamente y es auditable, lo cual es una verdadera ventaja de seguridad en teoría. En la práctica, los ataques de implante documentados en los dispositivos Trezor One y Trezor Model T explotaron la arquitectura de código abierto para crear un firmware modificado que podía pasar las propias verificaciones de integridad de Trezor. El debate entre código abierto y cerrado en la seguridad del hardware podría necesitar ser reconsiderado a la luz de estos hallazgos.
¿Se pueden confiar en los dispositivos comprados directamente en el sitio web del fabricante? La compra directa en el sitio web del fabricante sigue siendo el canal de menor riesgo disponible, ya que minimiza la cantidad de entidades que manejan el dispositivo entre la fábrica y el cliente. Sin embargo, la amplia alcance de la vulneración, que abarca múltiples marcas, múltiples países y tanto canales no autorizados como autorizados, sugiere que ningún canal puede considerarse categóricamente seguro. Los usuarios conscientes de la seguridad deben verificar la integridad del dispositivo a través de los métodos disponibles, incluyendo verificar la presencia de componentes inesperados y, cuando sea posible, confirmar el origen del dispositivo con el fabricante antes de la inicialización.
¿Se ha recuperado la criptomoneda robada? Al 13 de octubre de 2026, la recuperación de los fondos robados parece poco probable. Tether y Circle congelaron aproximadamente $318,000 de los activos robados, lo que representa menos del 0.1% del total estimado. El resto fue movido a través de siete blockchains y mezclado mediante puentes entre cadenas y protocolos de privacidad diseñados para romper la trazabilidad on-chain. Chainalysis está rastreando activamente los fondos, pero la sofisticación de la operación de lavado sugiere actores profesionales que probablemente no dejarán los activos en un estado rastreable.
¿Qué es el Fondo de Protección al Usuario de Ledger y serán compensados los clientes afectados? El Fondo de Protección al Usuario de Ledger cuenta actualmente con aproximadamente $464 millones y fue establecido en 2023 tras una filtración de datos anterior. La compañía ha indicado que tiene la intención de utilizar el fondo para compensar a los usuarios afectados por el drenaje relacionado con Cryptobilis. El alcance de la cobertura y el cronograma de desembolso no se han especificado completamente al momento de redactar este texto.
¿Cómo se compara esto con robos importantes anteriores de criptomonedas? El drenaje de $93.4 millones es significativo, pero no sin precedentes en la historia de las criptomonedas. El hackeo de Bybit de febrero de 2025 resultó en pérdidas de aproximadamente $1.5 mil millones. El hackeo del puente Ronin de marzo de 2022 drenó aproximadamente $625 millones. Lo que distingue al incidente de Ledger no es su escala, sino su mecanismo: es el primer caso importante documentado de compromiso físico de la cadena de suministro —implantes colocados en el hardware antes de llegar a los usuarios— que resulta en el robo directo de fondos de los usuarios a gran escala. La combinación de acceso físico, capacidad de transmisión celular y distribución minorista autorizada representa un nuevo vector de amenaza al que la industria no había tenido que enfrentarse anteriormente.