Ledger ha confirmado que al menos uno de sus monederos hardware fue manipulado físicamente antes de llegar al cliente, tras una serie de denuncias de pérdidas por parte de compradores de la tienda asiática CryptoBilis. La confirmación, publicada por Ledger en X, marca la primera vez que la compañía verifica que dispositivos manipulados procedentes de este canal llegaron a usuarios finales.
Según Ledger, el dispositivo en cuestión contenía un implante de hardware no autorizado. Las investigaciones sobre la unidad afectada muestran que la electrónica adicional integrada en el dispositivo es capaz de capturar la información mostrada en la pantalla, incluida la frase de recuperación que aparece durante el proceso de configuración inicial. Esa frase es el único dato que otorga control total sobre los fondos almacenados en un monedero.
Varios clientes de CryptoBilis habían denunciado la pérdida de sus criptomonedas antes de que Ledger abriera su investigación. Desde entonces, la compañía ha advertido a los clientes de que no configuren ni utilicen ningún dispositivo adquirido a través de ese distribuidor. CryptoBilis ha suspendido la venta de todos los monederos hardware hasta que concluya la investigación.
Ledger afirmó que no ha encontrado indicios de que la manipulación se originara en sus propios sistemas. "No tenemos indicios de que la infraestructura de seguridad, los sistemas o los servicios de Ledger se hayan visto comprometidos", declaró la compañía. Ledger también reiteró un principio de seguridad permanente para los propietarios de cualquiera de sus dispositivos: "Ledger nunca pedirá tu frase de recuperación de 24 palabras".
Compradores alemanes denuncian dispositivos similares
El caso ha adquirido una dimensión europea más amplia después de que un usuario publicara en X durante el fin de semana una descripción de presuntos monederos Ledger manipulados comprados a través de canales de venta minorista alemanes. Según se informó, uno de los dispositivos en cuestión se compró nuevo en MediaMarkt, una gran cadena de electrónica de consumo con tiendas en Alemania y otros mercados europeos.
Ledger no ha establecido ningún vínculo entre las denuncias procedentes de Alemania y los casos confirmados relacionados con CryptoBilis. Por el momento, ambos conjuntos de denuncias siguen siendo líneas separadas de una misma preocupación más amplia: que los monederos hardware puedan ser interceptados y alterados en algún punto entre la fabricación y la compra, independientemente del distribuidor que los venda.
Para los compradores que adquirieron un dispositivo a través de CryptoBilis y aún no lo han configurado, Ledger recomienda no hacerlo. A los clientes que ya han configurado uno de estos monederos y lo han utilizado para almacenar criptomonedas se les aconseja transferir sus fondos a un nuevo dispositivo configurado con una frase semilla generada de nuevo, en lugar de seguir confiando en la unidad potencialmente comprometida.
El episodio pone de relieve un riesgo recurrente en el mercado de monederos hardware: la seguridad de un dispositivo depende no solo de su diseño, sino también de la integridad de la cadena de suministro que lo hace llegar al cliente. Para los compradores en Alemania y en el resto de Europa, la aparición de unidades sospechosas vendidas a través de un distribuidor convencional eleva el nivel de ese riesgo más allá de los canales de venta más pequeños o menos regulados.
