Investigadores de seguridad criptográfica han desvelado los detalles de un sofisticado ataque que emplea microcontroladores ocultos y módulos de comunicación móvil insertados en dispositivos Ledger. La técnica permite interceptar las palabras de recuperación sin vulnerar el chip seguro del monedero físico.
Ingeniería inversa revela implantes en tres generaciones de dispositivos
El análisis más exhaustivo fue presentado por Yishi, creador de OneKey, quien detalló la ingeniería inversa aplicada a tres versiones de implantes capaces de capturar las frases semilla proyectadas en la pantalla. Según Yishi, el ataque explota el canal de comunicación entre la memoria interna y el display: aunque el elemento seguro genera las claves de forma legítima, un circuito fraudulento incrustado en el aparato lee las palabras de recuperación en texto plano durante su visualización y las envía al atacante vía internet.
Este mecanismo no requiere alterar el firmware oficial ni forzar el chip de seguridad. La aplicación Ledger Live, al validar únicamente el software, no detecta la modificación física, por lo que certifica el dispositivo como auténtico.
Mark Karpelès confirma la presencia de implantes en unidades procedentes de Malasia
El extitular de Mt. Gox, Mark Karpelès, corroboró la gravedad del hallazgo tras examinar un monedero manipulado originario de Malasia. El aparato contenía un componente oculto bajo la pantalla que transmitía la frase de recuperación mediante red celular. Karpelès también reveló que el ataque coincidió con la venta no anunciada del distribuidor autorizado CryptoBilis a un tercero, formalizada en marzo de 2026, lo que pudo facilitar la intercepción de los equipos durante la cadena de suministro. No obstante, la relación causal entre la transacción y el incidente no ha sido confirmada.
Análisis on-chain revela que la advertencia de 90 días de Ledger es insuficiente
Las pesquisas en cadena realizadas por AMLBot y el investigador FatManTerra aportaron datos clave. AMLBot rastreó 258 billeteras drenadas y observó que aproximadamente el 90% recibieron fondos por primera vez después del 1 de junio de 2026, con una fecha mediana del 6 de agosto. Sin embargo, 98 de ellas —el 38%, que concentraban cerca del 46% del valor robado— ya estaban activas antes del 11 de julio. Este dato es relevante porque Ledger limitó su advertencia a quienes compraron a CryptoBilis en los últimos 90 días, un período que comienza justo alrededor de esa fecha. Por tanto, la alerta no cubre a una fracción significativa de las víctimas potenciales.
FatManTerra, por su parte, señaló que los atacantes no desarrollaron un hackeo complejo, sino que adquirieron al revendedor autorizado CryptoBilis a través de una empresa china e impusieron un acuerdo de confidencialidad al propietario anterior para ocultar la operación. En conjunto, ambas fuentes indican que el problema no se limita a la fecha de compra, sino a la integridad del dispositivo durante toda la cadena de distribución.
La industria busca soluciones logísticas para proteger la autocustodia
Mientras los fabricantes evalúan flujos de configuración que eviten la exposición visual de las claves y refuerzan los controles sobre los distribuidores, la comunidad criptográfica trabaja para cerrar las brechas logísticas que ponen en riesgo la seguridad de la autocustodia a escala global.