✨︎ Resumen (TL;DR):
- Ledger ordenó a su red autorizada mantener las carteras fuera de estantes y exhibidores hasta entregarlas al comprador.
- Bitquery estimó 102 millones de dólares sustraídos de 335 carteras en 6 redes durante el ataque del 9 de octubre; Ledger no ha validado el recuento.
- Un implante leía la frase de recuperación de 24 palabras y la enviaba mediante LTE a través de una eSIM integrada.
Ledger ordenó a su red autorizada mantener las carteras de criptomonedas fuera de estantes y exhibidores hasta entregarlas al comprador, después de un ataque con implantes en equipos vendidos por CryptoBilis, un distribuidor del sudeste asiático. El componente oculto capturaba las frases de recuperación durante la configuración y las transmitía por LTE. Bitquery estimó pérdidas de 102 millones de dólares en 335 carteras de 6 redes durante el ataque del 9 de octubre, aunque Ledger no ha validado ese recuento.
Cómo salían las 24 palabras del dispositivo
La investigación comenzó tras las pérdidas reportadas el 9 de octubre. Para el 12 de octubre, Ledger ya había confirmado un implante en el dispositivo de un usuario afectado.
El análisis de Ledger Donjon, difundido el 13 de octubre, describió un componente oculto que leía los datos mostrados en pantalla. Durante la configuración, identificaba la frase de recuperación de 24 palabras y la transmitía por una conexión móvil LTE mediante una eSIM integrada.
La frase de recuperación es una secuencia de 24 palabras que permite reconstruir el acceso a los fondos desde otro equipo sin volver a tocar el dispositivo original. Restaurar esas mismas palabras en otro dispositivo conserva el acceso asociado a la secuencia.
La documentación oficial de Donjon precisa que Genuine Check es un control de autenticidad que comprueba el elemento seguro, el chip protegido del equipo. El control puede pasar por alto un implante físico añadido cuando ese chip original permanece intacto. Tampoco certifica el historial del dispositivo durante su distribución.
Un equipo podía conservar un chip legítimo y, aun así, exponer las palabras desde otro componente interno. Esa diferencia explica por qué Ledger amplió su respuesta al manejo del inventario antes de la venta.
Ledger endurece el control antes de la venta
En su comunicado del 15 de octubre de 2026, Ledger ordenó a la red autorizada mantener las carteras fuera de estantes y exhibidores y resguardarlas hasta entregarlas al comprador.
La empresa también reiteró que los productos devueltos nunca pueden revenderse, aunque parezcan nuevos y sin abrir. Los distribuidores deben informar con rapidez cualquier reporte de un producto inusual.
La medida atiende una brecha concreta: Genuine Check comprueba la autenticidad del elemento seguro, pero no certifica el historial del equipo durante su distribución ni descarta que otro componente haya sido añadido en su interior.
Bitquery mide fondos, no dispositivos
En su actualización del 16 de octubre, Bitquery calculó 102 millones de dólares sustraídos de 335 carteras en 6 redes durante el ataque del 9 de octubre. La valoración usó los precios de aquella mañana. Ledger no ha validado ese recuento, según la propia firma.
Para evitar duplicar movimientos, Bitquery excluyó las transferencias posteriores entre direcciones del atacante. También advirtió que una persona puede controlar varias carteras y que algunas fueron vaciadas en varias redes.
El recuento de 335 carteras no indica cuántos dispositivos contenían implantes. Bitquery distingue entre rastrear transferencias y realizar el examen necesario para determinar cómo se filtró cada clave.
Qué deben hacer los compradores de CryptoBilis
Ledger recomienda a quienes compraron un equipo en CryptoBilis y todavía no lo han configurado que eviten activarlo y contacten al soporte oficial.
Quienes ya lo utilizaron deben trasladar los activos a otro dispositivo con una frase de recuperación nueva. Restaurar la misma frase en otro equipo conservaría el acceso asociado a esas palabras, incluidas las que el implante pudo haber capturado.
Ledger también pidió a los afectados contactar a las autoridades locales y consultar con el soporte o la policía antes de abrir o enviar los dispositivos. Esos equipos pueden aportar evidencia a la investigación.
El caso separa dos controles: Genuine Check valida el elemento seguro, pero no el historial del equipo durante la distribución ni la presencia de un componente añadido. Ledger extendió las medidas al resguardo del inventario y a la entrega final. El dato disponible todavía no permite saber cuántos dispositivos contenían implantes, aunque sí existe una estimación de las carteras y los fondos afectados.
