Un ataque a la cadena de suministro dirigido a los monederos hardware de Ledger, que la empresa había atribuido a un único distribuidor comprometido en el sudeste asiático, parece extenderse más de lo reconocido hasta ahora. El expresidente de Mt. Gox, Mark Karpelès, confirmó a través de X que un dispositivo Ledger Flex que examinó contenía un implante espía, y un investigador independiente ha informado de que encontró un chip de comunicación añadido dentro de otra unidad Flex.

El dispositivo que examinó Karpelès se compró en la tienda minorista Metapod, situada en el aeropuerto de Singapur, y no en CryptoBilis, el distribuidor que Ledger había señalado como origen de las unidades comprometidas. Se lo envió para su inspección un usuario llamado Ben Yorke, que lo había comprado durante el verano del hemisferio norte por 300 dólares estadounidenses. Yorke le dijo a Karpelès que había notado marcas y arañazos sospechosos en la carcasa del dispositivo y que, por ese motivo, nunca llegó a conectarlo ni configurarlo.

Por separado, un investigador identificado en X como 大方BigFang informó el 12 de octubre de 2026 de que había recibido información sobre otra unidad Ledger Flex alterada físicamente. Al abrirla, el dispositivo reveló la incorporación de un chip de comunicación que no está presente en las unidades originales, aunque el investigador señaló que la función exacta del componente aún debe verificarse técnicamente.

La versión más acotada de Ledger

El equipo de seguridad de Ledger, Ledger Donjon, está investigando la presencia de implantes de hardware no autorizados, pero la comunicación pública de la empresa ha limitado el incidente a las unidades vendidas por CryptoBilis, afirmando que todas las pérdidas de fondos confirmadas hasta la fecha están vinculadas exclusivamente a ese distribuidor. Karpelès respondió directamente a la cuenta corporativa de Ledger, señalando que el dispositivo Flex comprometido no procedía de CryptoBilis, sino de la tienda Metapod en Singapur.

La versión de la empresa también ha omitido un caso denunciado en Europa. Según el informe en el que se basa esta información, un usuario encontró allí una versión del mismo componente espía en un monedero comprado en una tienda física de MediaMarkt. La investigación de Ledger se ha centrado hasta ahora en Asia, dejando sin abordar el caso europeo en sus comunicados oficiales.

Cómo funciona el implante

Según el mecanismo de ataque descrito, los responsables insertan un microcontrolador dentro del dispositivo que lee la frase de recuperación de 24 palabras mientras se muestra en pantalla durante la configuración inicial. El microcontrolador transmite después esa información mediante su propia conexión móvil, independiente de la red del usuario. Como el método intercepta visualmente la frase de recuperación en el momento de su visualización, extrae las credenciales sin vulnerar el chip de seguridad original del dispositivo ni su software interno, lo que dificulta detectar la manipulación mediante la verificación estándar del firmware del monedero.

Para los compradores europeos, el hallazgo de un implante vinculado a una cadena minorista de electrónica de consumo como MediaMarkt, y no a un distribuidor especializado, eleva considerablemente la gravedad del episodio. Hasta que Ledger ofrezca una explicación más completa que aborde directamente el modelo Flex y el caso europeo, los clientes que compraron dispositivos a través de canales minoristas distintos de la tienda online propia de la empresa podrían no tener forma fiable de saber si su unidad ha sido manipulada.