Ledger confirma un implante espía en carteras vendidas por un revendedor asiático y MediaMarkt retira sus dispositivos en Europa
Ledger, el fabricante francés de carteras físicas (hardware wallets), confirmó el 13 de octubre de 2026 que dispositivos vendidos por CryptoBilis, un revendedor del sudeste asiático, contenían un implante de hardware no autorizado que capturaba la frase de recuperación de 24 palabras durante la configuración y la enviaba a terceros. El mismo día, MediaMarktSaturn, el grupo propietario de MediaMarkt, retiró los productos del fabricante de sus tiendas y de su plataforma en línea tras el aviso de un cliente en Alemania. Se trata de un ataque a la cadena de suministro: el problema no está en el software de Ledger, sino en lo que ocurre con el aparato antes de que llegue al comprador.
Cómo funcionaba el implante
Según el análisis publicado por Ledger, el implante era un componente interno añadido al dispositivo que leía la frase de recuperación mostrada en la pantalla durante la configuración inicial. Un microcontrolador decodificaba las palabras y las transmitía de forma inalámbrica por LTE mediante una eSIM ya provisionada.
Ledger subraya que el implante no modificaba el Secure Element (el chip seguro donde se guardan las claves), ni el sistema operativo, ni alteraba las transacciones o las firmas. Dicho de otro modo: la cartera funcionaba con normalidad, pero quien controlaba el implante obtenía una copia de la semilla y, con ella, acceso completo a los fondos desde cualquier otro dispositivo. La compañía afirma que no hay indicios de una brecha en su propia infraestructura.
El equipo de seguridad de Ledger, Donjon, confirmó el implante en un dispositivo afectado el 10 de octubre, después de que se conociera el robo de fondos de usuarios que habían comprado sus carteras a través de CryptoBilis.
Las cifras, aún sin verificar
Las estimaciones sobre el dinero sustraído proceden de investigadores on-chain, no del fabricante. El investigador conocido como Specter rastreó en torno a 86 millones de dólares en robos sospechosos en las redes de Ethereum, Tron y Bitcoin, según Decrypt; otras estimaciones recogidas por la prensa especializada elevan la cifra hasta unos 93 millones. Ledger ha declarado que esas cifras «proceden de terceros» y que no las ha verificado por completo, y tampoco ha confirmado el número total de usuarios afectados.
Según Ledger, todas las pérdidas confirmadas vinculadas al incidente corresponden a dispositivos comprados a CryptoBilis.
El salto a Europa
El caso dejó de ser un asunto asiático el 12 de octubre, cuando un usuario de X que se identifica como Johannes aseguró haber encontrado componentes sospechosos, entre ellos cables adicionales y lo que describió como un módulo LTE, en dos carteras compradas en tiendas MediaMarkt distintas de Alemania. Publicó un vídeo de uno de los desembalajes y envió un dispositivo a Ledger para su análisis. Por otra parte, el exconsejero delegado de Mt. Gox, Mark Karpelès, documentó un implante en una Ledger Flex sin usar comprada en el aeropuerto de Singapur.
Ninguno de estos dos casos está, por ahora, vinculado a los robos de CryptoBilis, y Ledger no ha confirmado que se haya robado dinero con equipos adquiridos por otros canales. Aun así, MediaMarktSaturn reaccionó con rapidez: «El MediaMarktSaturn Retail Group ha retirado todos los productos del fabricante afectados de sus tiendas y plataformas en línea y está en contacto con el fabricante», declaró un portavoz. El comunicado no detalla en qué países se aplica la retirada.
El resto del sector también ha movido ficha. Trezor ha eliminado a CryptoBilis de su lista de revendedores y va a reducir su red de distribuidores, cuya autorización terminará el 1 de enero de 2027. OneKey ha revocado la autorización de CryptoBilis y ofrece sustituir gratis los dispositivos.
Qué implica para un inversor español
MediaMarkt tiene una red amplia de tiendas en España y, según Criptoinforme, vende carteras Ledger en el país desde septiembre de 2025. Aunque no hay ningún caso confirmado en España, quien haya comprado una cartera física fuera de la web oficial del fabricante debería tomar algunas precauciones, que coinciden con las recomendaciones de Ledger:
- Si el dispositivo está sin configurar, no lo inicialice hasta tener claro su origen. Ledger pide expresamente a los compradores de CryptoBilis que no configuren las unidades sin abrir.
- Si ya lo usa y tiene dudas sobre su procedencia, la medida que propone el fabricante es trasladar los fondos a una frase de recuperación nueva, generada en un dispositivo de confianza. Cambiar el PIN no sirve: si la semilla se filtró, el atacante ya tiene acceso.
- Si ha perdido fondos, Ledger aconseja coordinarse con las autoridades antes de abrir el dispositivo. Desde el punto de vista pericial, es la indicación correcta: el aparato es una prueba, y manipularlo puede destruir rastros útiles para la investigación y para una eventual reclamación. Conviene conservar también el ticket de compra, el embalaje y las direcciones de las transacciones de salida.
En estos casos, presentar la denuncia cuanto antes y con la documentación técnica adecuada es determinante. En nuestra guía sobre cómo denunciar una estafa con criptomonedas en España explicamos los pasos, y si los fondos ya han salido de su cartera, el rastreo on-chain es lo que permite identificar a dónde han ido y si alguna parte ha acabado en un exchange o emisor capaz de congelarla (recuperación de fondos).
Una lección sobre la cadena de suministro
El caso no invalida la autocustodia, pero recuerda algo que a menudo se pasa por alto: una cartera física solo es tan segura como la cadena por la que llega a su dueño. La investigación sigue abierta y quedan por confirmar tanto el número de afectados como el alcance real fuera de Asia. Hasta entonces, la prudencia pasa por comprar en canales oficiales, desconfiar de cualquier dispositivo con signos de manipulación y no introducir nunca una frase de recuperación en un aparato cuyo origen no se pueda acreditar.
Fuentes
- The Block — Ledger confirms hardware implant in CryptoBilis reseller units as MediaMarkt suspends sales in Europe
- Decrypt — Ledger Finds LTE Implant That Stole Recovery Phrases in Suspected $86M Drain
- CyberInsider — MediaMarkt pulls Ledger wallets as more spy implant reports emerge
- Criptoinforme — MediaMarkt retira las Ledger de sus tiendas: qué hacer si compraste una