Investigadores de Tibane Labs, entre ellos el exconsejero delegado de Mt. Gox Mark Karpelès, revelaron el 9 de octubre de 2026 que habían identificado tres generaciones sucesivas de implantes ocultos integrados en monederos de hardware Ledger Nano X. Según los investigadores, los implantes están diseñados para interceptar la frase de recuperación de 24 palabras de un usuario y transmitirla a través de una red celular sin necesidad de conexión a un ordenador o smartphone.
Para un mercado europeo donde el Nano X lleva tiempo comercializándose como un dispositivo de autocustodia centrado en la seguridad, los hallazgos plantean interrogantes que van más allá del canal de venta concreto bajo escrutinio.
El mecanismo descrito por Tibane Labs explota la conexión interna entre el elemento seguro del dispositivo y su pantalla OLED. Un microcontrolador instalado dentro del monedero intercepta los datos visuales enviados a la pantalla, reconoce los caracteres mostrados y reconstruye la frase de recuperación a medida que se revela al usuario durante la configuración. Un módulo celular independiente, equipado con su propia tarjeta SIM y antena, envía después esa frase de forma autónoma, sin pasar por ningún dispositivo emparejado.
Tres generaciones de hardware
El primer ejemplo conocido públicamente de este tipo de implante surgió en agosto de 2025. El investigador Joe Grand desmontó esa unidad y presentó su análisis en Hardwear.io USA 2026, donde describió una placa de circuito adicional conectada mediante cables soldados a mano, con la batería original reducida a 70 miliamperios hora para hacer sitio a los componentes añadidos.
Tibane Labs examinó dos ejemplos adicionales en septiembre de 2026. Uno incorporaba un circuito flexible colocado sobre la placa original y conectado a sus puntos de prueba. El otro tenía la placa cubierta de negro con las marcas identificativas raspadas, aparentemente para dificultar su identificación. En este segundo caso, quienes construyeron el implante retiraron material de relleno en lugar de reducir la batería, e instalaron un módulo de comunicación nRF9151, compatible con redes LTE-M y NB-IoT, junto con una antena en forma de L diseñada específicamente para encajar en la carcasa del Nano X.
Tibane Labs señaló que ninguna de las tres versiones requiere sustituir el elemento seguro del dispositivo, que sigue protegiendo las operaciones criptográficas de firma con normalidad. Como resultado, un dispositivo físicamente manipulado puede superar la verificación de autenticidad estándar de Ledger, dejando la manipulación invisible ante las comprobaciones rutinarias.
Un distribuidor bajo escrutinio
La revelación coincidió con un anuncio de Ledger el mismo día en el que la compañía indicó que estaba investigando pérdidas de fondos vinculadas a dispositivos vendidos a través de CryptoBilis, un distribuidor autorizado que opera en Malasia, Indonesia y Filipinas. Ledger ha solicitado la suspensión de las ventas y envíos de CryptoBilis mientras continúa la investigación.
Karpelès afirmó que su equipo investigaría un posible vínculo entre los dispositivos manipulados descritos en la investigación de Tibane Labs y los robos reportados. Ha pedido a los usuarios afectados que envíen fotografías del interior de sus dispositivos para que los investigadores puedan comprobar la presencia de implantes.
Hasta el momento no se ha confirmado cuántos dispositivos podrían haberse visto afectados ni a través de qué canales de suministro llegaron a circular las unidades modificadas.
