Sistemas

CryptoBilis, revendedor autorizado de Ledger en Malasia, despachó dispositivos adulterados a nivel de hardware y el 9 de octubre alguien usó esas claves para vaciar 311 billeteras en cinco cadenas, por unos 92,9 millones de dólares, en cuarenta y siete minutos. CryptoBilis, con base en Kuala Lumpur, figuraba en el listado oficial de distribuidores de Ledger hasta ese mismo día. La empresa había cambiado de dueños a principios de año, y los ejecutivos originales quedaron atados a un acuerdo de confidencialidad de seis meses que vencía el 19 de octubre.

CryptoBilis fue fundado en 2020, con cobertura comercial hacia Indonesia y Filipinas, y también vendía Trezor, OneKey, Tangem y SafePal. Un negocio establecido, con cinco años de historial y reputación local sólida. El 3 de agosto de 2026 ese negocio pasó a manos de otra persona. Los registros corporativos muestran la transferencia del 100% del capital a un accionista domiciliado en la provincia de Heilongjiang, en China. El equipo fundador sostiene que a partir de esa fecha perdió el control operativo de la empresa. El acuerdo de confidencialidad que el comprador les hizo firmar corría hasta el 19 de octubre, diez días después del drenaje.

Junio en adelante: la ventana es más ancha que la que avisó Ledger

El aviso oficial apuntó a las compras de los últimos noventa días. El análisis de antigüedad de las billeteras drenadas sugiere que el período real es más largo. De las diez direcciones con mayor pérdida, seis caen dentro de esa ventana de noventa días, pero ocho o más recibieron sus primeros fondos a partir de junio de 2026. En la red TRON, 42 de las 131 billeteras afectadas fueron fondeadas por primera vez en junio.

Si el momento del primer depósito aproxima el momento en que el dispositivo se configuró, la exposición no arranca en julio sino en junio, y el tiempo que los equipos adulterados estuvieron circulando se acerca a los cuatro meses. Para alguien que compró en junio y recibió el aviso de los noventa días, la diferencia no es académica.

Del 25 de septiembre al 7 de octubre: el ensayo

Lo que distingue este caso de un drenaje oportunista es que quedó grabado el ensayo. Desde el 25 de septiembre, dos direcciones —una en TRON, otra en Ethereum— ejecutaron ciclos de prueba repetidos: veintiuna veces en TRON, veinte en Ethereum. Movimientos mínimos, de ida y vuelta, del tipo que sirve para confirmar que una clave firma correctamente y que el script de barrido funciona sin errores. Las dos últimas corridas ocurrieron el 7 de octubre, separadas por veintitrés segundos.

Hay un ensayo particularmente elocuente. El 2 de octubre, una prueba movió tres dólares hacia una dirección que una semana más tarde recibiría 36 millones. El operador ya sabía adónde iba a mandar el dinero grande, y verificó la ruta con tres dólares antes de usarla.

9 de octubre: cuarenta y siete minutos, cinco cadenas

La ejecución fue simultánea y mecánica. En cuarenta y siete minutos quedaron vaciadas billeteras en Bitcoin, Ethereum, TRON, BNB Chain y Polygon.

El dato que cierra cualquier debate sobre el método está en TRON: veinticinco billeteras distintas firmaron una aprobación idéntica dentro de una ventana de tres segundos. Eso no se consigue engañando a veinticinco personas, ni con veinticinco phishings exitosos en el mismo instante. Se consigue de una sola manera, y es teniendo las veinticinco claves privadas guardadas de antemano en el mismo lugar, listas para firmar en lote.

Cadena	Billeteras	Monto	Activos principales
TRON	131	~U$S 70,5 M	70,2 M USDT y TRX
Bitcoin	122	~U$S 16,8 M	203,8 BTC
Ethereum	33	~U$S 3,7 M	1.230 ETH, stablecoins, PEPE
BNB Chain	27	~U$S 1,45 M	59,8 BNB
Polygon	13	~U$S 0,58 M	579.773 USDC
Total	311	~U$S 92,9 M	Ventana de ejecución: 47 minutos

Las tres cifras que circularon el mismo día

Conviene entender por qué el monto cambió varias veces durante la jornada. La primera estimación, del investigador tanuki42, habló de más de 72 millones sobre ocho direcciones. Horas después, el analista Specter elevó la cuenta a más de 86 millones repartidos en cerca de 98 billeteras. El relevamiento más amplio, de Bitquery, cerró en 92,9 millones distribuidos en 311 billeteras y cinco cadenas.

Las cifras no se contradicen: cada una corresponde al momento en que se publicó y al conjunto de direcciones que se había logrado agrupar hasta entonces. El número creció porque la investigación iba descubriendo víctimas, no porque el robo continuara.

13:32 UTC: la respuesta oficial

Ledger publicó su comunicado a media tarde europea, con tres afirmaciones centrales. Que ni sus sistemas ni el firmware de los dispositivos fueron comprometidos. Que el problema está en un revendedor de Malasia que vendió equipos adulterados. Y que ese revendedor fue retirado del listado de distribuidores autorizados.

Las tres pueden ser ciertas a la vez, y probablemente lo sean. También es cierto que las tres juntas no responden la pregunta que se hace el que compró en junio, es decir, qué garantía ofrece aparecer en ese listado.

El implante, y una aclaración que conviene no saltear

La pieza técnica más perturbadora del día no vino de CryptoBilis. Mark Karpelès, el ex titular de Mt. Gox, abrió un Ledger Nano y encontró adentro componentes que no deberían estar: un módulo LTE, una antena, una eSIM y un microcontrolador alojados en el espacio del almohadillado que rodea la pantalla. El envoltorio exterior estaba sin abrir.

Su dispositivo lo compró en Amazon Japón, no en el revendedor malayo. Son dos hilos distintos que se cruzaron en la misma jornada, y mezclarlos no ayuda a nadie. No hay evidencia pública de que el implante que él documentó sea el mismo mecanismo usado contra las víctimas de Malasia.

El diseño, de todos modos, merece explicarse porque rompe un supuesto cómodo. Según la descripción de 23pds, responsable de seguridad de SlowMist, el microcontrolador se conecta a las líneas de datos SPI que alimentan la pantalla. Ahí no pasa la clave privada, pasa lo que el usuario está leyendo. Y durante la configuración inicial, lo que el usuario está leyendo son las veinticuatro palabras, una por una, renderizadas en orden. El implante las registra a medida que aparecen y las transmite por LTE.

Por eso el dispositivo pasa la verificación de autenticidad. Esa comprobación interroga al Secure Element, y el Secure Element está intacto. El implante no lo ataca: lo esquiva, leyendo del otro lado del chip.

Vale aclarar que esta no es la única explicación posible para el caso malayo, y las otras dos son bastante más simples. Una, que los dispositivos se hayan entregado con una semilla ya generada y conocida por el vendedor, con la tarjeta de recuperación precargada. Otra, que se haya filtrado la base de datos del revendedor y se haya montado un phishing dirigido contra sus compradores. Ninguna fue descartada públicamente, y la coordinación de las veinticinco firmas en tres segundos es compatible con todas.

La carrera por el dinero

La respuesta on-chain fue rápida y parcialmente efectiva. Tether congeló 37 direcciones con cerca de 10 millones de dólares en las dos horas siguientes al drenaje. El atacante, que evidentemente anticipaba eso, ya estaba moviendo: pasó unos 20 millones a Ethereum a través del puente USDT0, fraccionados en cuarenta porciones iguales, y los convirtió en unos 7.994 ETH vía UniswapX. Otros 14,9 millones terminaron en USDD. Después alimentó Tornado Cash con cerca de 1.254 ETH en tres lotes de unos 400 ETH cada uno, dentro de un lapso de cuarenta minutos.

Los 203,8 bitcoin siguen sin moverse. Es la porción más visible del botín y la más difícil de lavar, y por ahora está quieta.

Lo que este caso rompe

Changpeng Zhao lo encuadró como un ataque de cadena de suministro acotado a un único vendedor, que afectó a un número reducido de compradores de equipos falsificados o manipulados, y defendió el historial general de Ledger. También pidió que la industria colabore en el rastreo de los fondos. El encuadre es técnicamente correcto y, al mismo tiempo, deja intacto el problema conceptual.

Una billetera de hardware existe para que no haya que confiar en nadie. Ese es su argumento de venta completo: las claves nunca salen del dispositivo, ningún tercero las ve, no hay custodio. El caso malayo introduce un custodio que nadie había contabilizado, que es quien armó y despachó la caja. Un usuario de Reddit lo formuló mejor que cualquier comunicado al señalar que el sentido de estos aparatos era no tener que confiar en nadie, y que ahora resulta que hay que confiar en que el distribuidor no abrió el paquete.

La figura del «revendedor autorizado» tampoco significa lo que la gente asume. Certifica un derecho comercial a vender el producto. No certifica que la cadena de custodia física entre la fábrica y el comprador se mantuvo íntegra, ni que la empresa sigue en manos de quien la fundó. En este caso, el listado oficial estuvo más de dos meses apuntando a una empresa cuyos dueños habían cambiado.

Por Sistemas, el 10/10/2026.

Historias relacionadas