Ledger confirma implante de hardware no autorizado en ataque a la cadena de suministro mientras las pérdidas podrían superar los $86 millones

El fabricante francés de billeteras cripto reveló una sofisticada brecha en la cadena de suministro que afecta a dispositivos vendidos a través de un distribuidor del Sudeste Asiático, con chips maliciosos que drenan los fondos de los usuarios.

Ledger, el fabricante francés detrás de una de las billeteras de hardware de criptomonedas más populares del mundo, confirmó el domingo que se ha descubierto un implante de hardware no autorizado en dispositivos genuinos, potencialmente afectando a miles de usuarios en el Sudeste Asiático. La compañía dijo que el incidente parece aislado a un solo distribuidor en la región, aunque las pérdidas por billeteras drenadas pueden superar los $86 millones según análisis forenses de blockchain iniciales.

A diferencia de los hackeos de software o ataques de phishing, esta brecha representa una amenaza mucho más seria: un ataque a la cadena de suministro en el que dispositivos físicos fueron manipulados antes de llegar a los clientes. El implante malicioso—un pequeño chip soldado a la placa de circuito dentro de unidades Ledger auténticas—permitió a los atacantes interceptar claves privadas y frases semilla mientras los usuarios configuraban o accedían a sus billeteras, incluso si los dispositivos parecían funcionar normalmente.

Ledger dijo que está trabajando con las fuerzas del orden en múltiples jurisdicciones y ha iniciado una investigación interna para determinar cómo se introdujeron los implantes. La compañía enfatizó que los dispositivos comprados directamente en Ledger.com o de distribuidores verificados en América del Norte y Europa no muestran signos de manipulación. Se insta a los usuarios del Sudeste Asiático que compraron dispositivos en meses recientes a transferir inmediatamente los fondos a una nueva billetera generada en un dispositivo comprado a través de canales oficiales.

La cifra de $86 millones es preliminar y se basa en direcciones de billeteras que investigadores de seguridad han vinculado a los dispositivos comprometidos. Las pérdidas reales podrían aumentar a medida que más víctimas se presenten. Ledger no ha revelado el nombre del distribuidor involucrado, citando la investigación en curso, pero dijo que ha suspendido los envíos al distribuidor y está auditando toda su red de socios.

Las billeteras de hardware como Ledger se comercializan como el estándar de oro para la seguridad cripto precisamente porque mantienen las claves privadas fuera de línea y aisladas de computadoras conectadas a internet. Este ataque socava esa promesa al mostrar que incluso los dispositivos aislados pueden verse comprometidos si se vulnera la cadena de suministro. Para los usuarios, destaca la importancia crítica de comprar billeteras de hardware solo de fuentes oficiales e inspeccionar los dispositivos en busca de signos de manipulación física.

El incidente llega en un momento sensible para la industria cripto, que ha pasado años reconstruyendo la confianza después de colapsos de exchanges y fallas de custodia. Las ventas de billeteras de hardware se dispararon tras el colapso de FTX cuando los usuarios buscaban soluciones de autocustodia, y cualquier erosión de la confianza en estos dispositivos podría empujar a los inversores de vuelta hacia custodios regulados o reducir la adopción de cripto en general. Los competidores de Ledger, incluidos Trezor y Coldcard, aún no han comentado públicamente pero probablemente estén revisando sus propios controles de cadena de suministro.

Para los inversores cotidianos, la lección es clara: incluso la tecnología más segura es solo tan segura como la red de distribución detrás de ella. Los expertos recomiendan verificar el embalaje a prueba de manipulaciones, verificar los números de serie del dispositivo en el sitio web del fabricante y configurar billeteras en un entorno seguro. Ledger ha prometido compartir más actualizaciones a medida que avanza la investigación y ofrece dispositivos de reemplazo gratuitos a las víctimas confirmadas.