MediaMarktSaturn ha suspendido la venta de dispositivos Ledger en sus tiendas y en su plataforma online de Europa mientras se investiga el hallazgo de un componente oculto en un monedero comprado por un cliente en Alemania. Ledger asegura que el usuario no perdió fondos, pero el incidente ha llevado también a Trezor a reducir el número de distribuidores con los que trabaja como medida preventiva.
MediaMarkt retira Ledger mientras continúa la investigación
La decisión de la matriz alemana de MediaMarkt afecta a la comercialización de los dispositivos Ledger tanto en establecimientos físicos como por internet. La compañía ha explicado que se toma el caso “muy en serio” y que prefiere detener las ventas hasta esclarecer cómo llegó el componente implantado al producto.
El fabricante francés ha confirmado el hallazgo en Alemania, aunque sostiene que los únicos incidentes confirmados siguen concentrados en el sudeste asiático. En paralelo, un usuario identificado como Johannes afirmó en X haber encontrado cables sueltos y módulos de comunicación móvil en dos dispositivos Ledger adquiridos en tiendas distintas. Ese testimonio todavía no ha sido verificado.
Mark Karpelès, antiguo director de Mt. Gox, también comunicó el hallazgo de un componente implantado en un Ledger Flex comprado en el aeropuerto de Singapur. Ledger no ha confirmado que este caso esté relacionado con el mismo ataque.
El componente busca la frase de recuperación
Los primeros casos se conocieron la semana anterior en el sudeste asiático, después de que varios clientes del distribuidor malasio CryptoBilis denunciaran el vaciado de sus monederos. Uno de los afectados aseguró en Reddit que había perdido casi 100.000 dólares en USDT. Bitquery calcula unas pérdidas agregadas de 93 millones de dólares distribuidas entre 311 monederos, aunque Ledger no ha confirmado esas cifras.
Según la explicación difundida por el equipo de seguridad de Ledger, el componente malicioso no ataca directamente el chip seguro que almacena las claves privadas. Su objetivo sería leer la frase de recuperación de 24 palabras que aparece durante la configuración del dispositivo y enviarla mediante la red móvil, utilizando una tarjeta SIM integrada o eSIM.
La manipulación resulta especialmente difícil de detectar porque el monedero puede funcionar con normalidad y superar incluso la comprobación de autenticidad de la aplicación de Ledger. Quien obtiene la frase de recuperación puede restaurar el monedero en otro dispositivo y retirar los fondos asociados.
La compañía recomienda no configurar dispositivos adquiridos a CryptoBilis durante los últimos 90 días. A los usuarios que ya hayan introducido criptomonedas en ellos les aconseja transferirlas a un Ledger nuevo y generar una frase de recuperación diferente. La empresa aún investiga en qué fase de la cadena de suministro se produjo la alteración. Changpeng Zhao, antiguo responsable de Binance, planteó que los atacantes podrían haber tomado el control del propio distribuidor, aunque se trata de una hipótesis.
Trezor limita su red de distribuidores
Trezor asegura no haber recibido avisos de dispositivos manipulados ni disponer de pruebas de que sus productos hayan sido comprometidos. Aun así, ha decidido reducir el número de distribuidores autorizados para poder supervisar con mayor detalle su actividad, el origen de los equipos y sus condiciones de almacenamiento.
La autorización de los distribuidores afectados quedará revocada el 1 de enero de 2027. Hasta esa fecha no recibirán nuevas existencias, aunque podrán vender las unidades que ya tengan. Trezor no ha precisado cuántas empresas se verán afectadas por la medida.
OneKey, otro fabricante de monederos físicos, también ha dejado de trabajar con CryptoBilis. La compañía ofrece sustituir sin coste los dispositivos comprados a ese distribuidor entre el 1 de marzo y el 13 de octubre, sin que haya comunicado pérdidas entre sus usuarios.
Las medidas reducen las opciones de compra a través de distribuidores autorizados y vuelven a poner el foco en la seguridad de la cadena de suministro. Sin embargo, ninguna de las empresas ha determinado todavía cómo se introdujeron los componentes ni hasta dónde se extiende el incidente.
