¿Qué pasó realmente?
El fabricante de carteras hardware Ledger publicó el martes, según Kryptonovinky.cz y Kryptonovinky.sk, un análisis de un ataque a sus dispositivos que llegaron a los clientes a través del distribuidor CryptoBilis. Según el equipo de seguridad de Ledger, llamado Donjon (tal como citan sus hallazgos ambos medios de Kryptonovinky), en la carcasa del dispositivo se ocultó un implante físico, es decir, un pequeño chip con un microcontrolador. Este debía observar lo que se mostraba en la pantalla de la cartera. En el momento en que, durante la configuración inicial, aparecía la frase de recuperación, el implante debía capturarla y enviarla a través de la red móvil.
Una aclaración importante sobre las fuentes: la redacción de charliedesk no leyó el análisis primario de Ledger y del equipo Donjon directamente de una fuente de Ledger, sino que lo conoce de forma indirecta a través del reportaje de Kryptonovinky. Por eso presentamos la descripción del ataque como lo que, según Ledger, descubrió Donjon, y no como un hallazgo técnico verificado de forma independiente.
La frase de recuperación (en inglés seed phrase, normalmente 24 palabras) es la llave principal de toda la cartera. Quien la tiene, controla los fondos. Precisamente por eso es tan delicado: el ataque descrito no apunta al software ni al cifrado, sino al camino físico del dispositivo desde la fabricación hasta el cliente, es decir, a la llamada cadena de suministro.
¿Por qué es un problema de la cadena de suministro y no (solo) de un fabricante?
Lo esencial es por dónde entró el componente malicioso en el dispositivo. Según la descripción, no se trató de un fallo en el diseño de la cartera, sino de una manipulación de la mercancía antes incluso de que el cliente la tuviera en sus manos. Eso cambia el punto de vista: el punto débil no es necesariamente el propio producto, sino la distribución (distribuidores, reempaquetado, almacenamiento intermedio).
Precisamente esta dimensión explica por qué la competencia también reacciona ante el descubrimiento. Según CryptoSlate y Cointelegraph, el director comercial (CCO) de Trezor, Danny Sanders, envió una carta fechada el 13 de octubre en la que anunció a determinados socios que a partir del 1 de enero de 2027 perderán el estatus de distribuidor autorizado. Trezor lo enmarca, según CryptoSlate, como un endurecimiento del control sobre su propia cadena de suministro y como un paso preventivo.
¿Qué cambia exactamente Trezor?
| Qué | Detalle | Fuente |
|---|---|---|
| Forma de la decisión | Carta del CCO Danny Sanders del 13 de octubre | CryptoSlate, Cointelegraph |
| A quién afecta | Determinados distribuidores autorizados (no todos) | CryptoSlate, Cointelegraph |
| Desde cuándo | Retirada de la autorización a partir del 1 de enero de 2027 | CryptoSlate |
| Motivo | Endurecimiento del control de la cadena de suministro, prevención | CryptoSlate |
Según CryptoSlate, Trezor indicó que en sus dispositivos no encontró pruebas de manipulación. Se trata, por tanto, de una reducción preventiva del círculo de distribuidores, no de una reacción a un implante encontrado en sus propios productos.
¿Y esos huecos que han aparecido en la oferta?
Tanto los Kryptonovinky checos como los eslovacos coinciden en que las carteras Ledger desaparecen de parte de la venta; la versión eslovaca menciona concretamente las tiendas MediaMarkt. El alcance de esta retirada, si se trata de una medida temporal o de una decisión generalizada y a qué mercados afecta exactamente, no se desprende de forma inequívoca de las fuentes disponibles. Por ahora lo clasificamos entre lo no verificado.
¿Qué significa esto para el usuario común?
Esto no es una guía sobre qué hacer con el dinero, sino una descripción de dónde reside el riesgo en este tipo de incidente. En un ataque a la cadena de suministro lo decisivo es el origen del dispositivo y cómo se genera y se muestra la frase de recuperación. En general, los fabricantes de carteras hardware, ante situaciones similares, remiten a la compra por canales oficiales y a la verificación de la autenticidad del dispositivo. Los procedimientos concretos varían según el fabricante y no son objeto de estas cuatro fuentes, por eso aquí no los presentamos como un hecho.
Qué seguir observando (para poder comprobarlo más adelante)
- Si Ledger publicará el alcance de las unidades afectadas vendidas a través de CryptoBilis y cuántos fondos (si es que hubo alguno) fueron sustraídos. Por ahora desconocido.
- Cómo llevará a cabo Trezor exactamente la reducción de distribuidores y a qué socios afectará. Por ahora solo se ha publicado el principio y la fecha.
- Si Ledger regresará realmente a la oferta física y online, y en qué mercados, incluidas cadenas como MediaMarkt.
Charliedesk sigue este caso como una historia sobre distribución, no sobre un fallo de la criptografía. En cuanto haya cifras verificadas, las añadiremos y nos dejaremos comprobar con ellas.