Un grupo adulteró carteras de hardware y las vendió por la mitad del precio. El detalle que interesa está después del implante: el mecanismo oficial de verificación de Ledger no consigue detectarlo.
Qué pasó, conforme la propia Ledger confirmó
Dispositivos Nano X vendidos por CryptoBilis, revendedora que opera en el sudeste asiático, salieron con un implante de hardware no autorizado. Ledger pidió que la revendedora parara de vender el 9 de octubre y confirmó la adulteración al día siguiente. Investigadores ya venían mostrando el implante desde el 16 de septiembre.
La ingeniería del implante
El ataque no quebró criptografía ninguna. Fue a mirar la pantalla: el implante queda detrás del display, captura lo que aparece ahí y los botones que presionas, reconstruye la frase de recuperación y transmite por LTE usando un eSIM de dos milímetros. El componente que los investigadores hallaron debajo de la batería es un microcontrolador STM32, junto con un módulo LTE blindado, y para caber trocaron la batería original por una menor.
La placa es producción industrial. Los investigadores describen como flex PCB panélizada, del tipo encomendado en una fábrica de placas, no montaje artesanal. En una de las variantes, las marcaciones del chip y del eSIM fueron raspadas para esconder los números de pieza.
La parte que cambia cómo piensas sobre verificación
Ledger ofrece un Genuine Check para atestar autenticidad, y ella misma avisa que él no detecta implantes añadidos cuando el Secure Element original permanece intacto. El sello confirma y el dispositivo está comprometido, las dos cosas al mismo tiempo.
El tamaño del estrago tiene dos versiones. Un análisis on-chain noticiado por la prensa de cripto estima 92,9 millones de dólares drenados de 311 carteras, número que Ledger no confirma: ella describe el volumen afectado como limitado. Lo que ella confirma es la adulteración.
La orientación de la propia Ledger: quien compró por el canal afectado y todavía no configuró, no configure. Quien ya configuró, mueva los activos a una nueva cartera, con una frase de recuperación nueva.
La lección vale para cualquier operación
Una herramienta de conferencia que el atacante consigue satisfacer no verifica nada, ella sella. Es la pregunta que hago para cada control que aparece en una auditoría: quién fabricó esa herramienta, qué mide exactamente, y qué es incapaz de ver.
Es el mismo espíritu del caso del premio que tiene precio en el email: el sello existe, la diligencia no. Y es el mismo hueco que la cadena de supply chain de 2026 exploró en software, ahora con soldadura: cuando la confianza es delegada a un artefacto, el atacante falsifica el artefacto.
En los dispositivos de esta historia, la única señal visible era la antena. La otra era el precio por la mitad.
Conclusión
Verificación que confirma no es verificación: control vale por lo que mide y por lo que es incapaz de ver, y es en lo que él no ve que el atacante vive. Canal oficial, inspección física y plan de respuesta son lo que sobra cuando el sello es falsificable. La diligencia que el sello debería representar sigue siendo tuya.