Ledger y CryptoBilis: el robo de billeteras por 86 millones de dólares, qué se sabe y cómo revisar la tuya

Qué pasó con el robo de billeteras Ledger de CryptoBilis

CryptoBilis es revendedor oficial de Ledger en Indonesia, Malasia y Filipinas. El viernes 9 de octubre, el soporte de Ledger publicó en X que está revisando reportes de pérdida de fondos de usuarios del Sudeste Asiático que compraron sus dispositivos a este vendedor. La empresa le pidió a CryptoBilis suspender todas las ventas y envíos de equipos Ledger hasta que termine la investigación.

Los primeros en dar la alarma fueron los propios dueños de las billeteras: en X y en Reddit contaron que sus monedas habían salido de sus direcciones. Los investigadores on-chain empezaron a juntar esas direcciones. Según el conteo de tanuki42, a un grupo de direcciones sospechosas llegaron más de 72 millones de dólares. Poco después, Specter calculó las pérdidas en más de 86 millones de dólares y siguió el dinero por las redes Bitcoin, Ethereum y TRON, con entradas "desde cientos de billeteras de víctimas".

Ninguna de las dos cifras está confirmada de forma independiente. El propio Specter aclaró que no se sabe cuántas personas resultaron afectadas, Ledger no da un monto y tampoco está claro si ambos investigadores cuentan las mismas transacciones. Lo que sí está claro es que se trata de uno de los mayores robos a usuarios de billeteras físicas, y no a un exchange.

Qué recomienda Ledger

Las recomendaciones oficiales de la empresa son breves:

• si compraste un dispositivo a CryptoBilis en los últimos 90 días y todavía no lo configuraste, no empieces la configuración;
• si ya lo configuraste, considera mover tus monedas a un Ledger nuevo con una frase semilla nueva;
• la empresa promete ir informando sobre el avance de la investigación.

Ledger insiste en que no hay señales de que sus propios sistemas o el software de la billetera hayan sido vulnerados. La investigación se centra en los dispositivos vendidos por un vendedor externo, no en todas las billeteras Ledger del mundo. La empresa dice haber vendido más de 7 millones de dispositivos.

Cómo pudieron robar las monedas

Hasta la noche del 9 de octubre no hay una versión oficial. Se manejan tres hipótesis.

Dispositivo cambiado en el camino al comprador

La hipótesis más comentada es un ataque a la cadena de suministro: alguien cambia o abre el dispositivo antes de que llegue al comprador. En la caja se puede meter una frase semilla "lista" que el atacante ya conoce, o un equipo falso que genera claves conocidas de antemano. La persona deposita fondos sin sospechar nada, y el ladrón espera a que el saldo crezca para vaciarlo todo de una sola vez.

Changpeng Zhao (CZ), exdirector de Binance, escribió que, con los datos disponibles, parece un ataque a través de un solo vendedor y que un número reducido de usuarios pudo haber comprado dispositivos falsos o manipulados. "La autocustodia exige una responsabilidad extra", agregó. Mark Karpelès, exdirector de Mt. Gox, pidió a los afectados que le mandaran fotos de las placas de sus dispositivos: según él, el caso podría estar relacionado con un problema que ya está investigando.

Phishing y frase semilla expuesta

Parte de las pérdidas podría ser phishing común y corriente: una app falsa, un sitio de "recuperación de billetera" o un supuesto "soporte" en una app de mensajería al que la víctima le dictó sus 24 palabras. Después de una noticia así, estos "ayudantes" se multiplican.

Transacción maliciosa firmada

Otra posibilidad es que el propio usuario haya aprobado en el dispositivo una transacción que le dio a un tercero acceso a sus tokens. La billetera física firma fielmente lo que le muestran y no te salva si no lees la pantalla.

Ninguna de estas versiones está confirmada, y los investigadores piden no sacar conclusiones apresuradas sobre un supuesto "agujero" en todas las billeteras Ledger.

Por qué una billetera física no te protege por sí sola

Una billetera física guarda la clave en un chip aparte y nunca se la entrega a la computadora. Pero toda su seguridad depende de una sola condición: que la frase semilla la haya generado tu dispositivo en la primera configuración y que nadie más que tú la haya visto. Si otra persona la creó de antemano, en una "fábrica" clandestina o en el depósito del vendedor, tu costosa billetera se convierte en la caja fuerte de otro, y la llave la tiene el ladrón.

Puedes comprar monedas donde quieras: en un exchange, a un conocido o al cambiar criptomonedas sin registro directo a tu dirección. Pero solo puedes guardarlas seguras donde la clave sea realmente tuya. Ya explicamos en detalle cómo guardar tu frase semilla para que no te la roben ni la pierdas en otro artículo.

La regla principal es simple: una billetera auténtica nunca llega con una frase semilla ya escrita. Los fabricantes incluyen tarjetas en blanco para anotarla, y las palabras aparecen en la pantalla del dispositivo solo durante la configuración.

Cómo revisar tu billetera física

Repasa esta lista aunque no hayas comprado a CryptoBilis:

1. Dónde la compraste. Lo más seguro es el sitio del fabricante. Marketplaces, revendedores informales, ofertas "30% más baratas" y equipos usados quedan descartados de entrada. El caso CryptoBilis demuestra que incluso un vendedor oficial puede fallar, así que los demás puntos siempre importan.
2. Frase semilla. Tiene que aparecer en la pantalla del propio dispositivo durante la primera configuración. Una tarjeta con palabras impresas, un PIN ya configurado o un equipo que te entregan "ya configurado" son motivo para no depositar ni un centavo.
3. Verificación de autenticidad. Al conectar el dispositivo, la app Ledger Live comprueba si es original. Instala la app solo desde el sitio oficial, nunca desde un enlace de un anuncio o de un chat.
4. Pantalla del dispositivo. Verifica la dirección y el monto en la pantalla de la billetera, no solo en la app. Eso te protege de un virus en la computadora.
5. Soporte. Ningún soporte real te va a pedir la frase semilla. Quien te la pida es un estafador, aunque escriba desde una cuenta "oficial".

Si tienes dudas con cualquiera de estos puntos, la salida más segura es generar una frase semilla nueva en un dispositivo comprado al fabricante y mover ahí tus monedas.

Qué hacer si compraste a CryptoBilis o tienes dudas

El dispositivo todavía no está configurado. No lo enciendas y escribe al soporte de Ledger desde el sitio oficial. No le envíes monedas.

El dispositivo ya está en uso. Mueve tus monedas ahora, sin esperar el resultado de la investigación. El orden es este:

1. Un dispositivo nuevo comprado al fabricante y una frase semilla nueva generada en él.
2. Una transferencia de prueba por un monto pequeño a la nueva dirección.
3. La transferencia del resto en todas las redes donde tengas fondos: bitcoin, ether con sus tokens, USDT en TRON. Para USDT TRC20 deja algo de TRX para la comisión, o la transferencia se va a trabar: esta mañana explicamos cuánto cuesta enviar USDT en la red TRON y qué tiene que ver la energía.

Durante la mudanza ten cuidado con el envenenamiento de direcciones en cripto: los estafadores vigilan las transferencias grandes y meten direcciones parecidas en el historial de tu billetera. Copia la nueva dirección solo desde la pantalla del nuevo dispositivo.

Las monedas ya salieron. Guarda el hash de la transacción, haz la denuncia en la policía y escribe al soporte de Ledger. Si te robaron USDT o USDC, la velocidad importa: el emisor puede congelar los fondos a pedido de las autoridades mientras el ladrón no los haya cambiado. Y no les pagues a los "servicios de recuperación" que te escriben por su cuenta: después de un robo grande, esa es la segunda ola de estafas.

Cómo pasar tus monedas a una billetera nueva y cambiarlas sin registro

Mudarte a una frase semilla nueva es un buen momento para rearmar tu portafolio. Igual tienes que enviar las monedas a una dirección nueva, y en el camino puedes cambiarlas. Por ejemplo, pasar parte de tus USDT, que el emisor puede congelar, a bitcoin, que nadie puede congelar.

En VertEXchange lo haces sin cuenta, sin correo y sin teléfono. Eliges el par, pegas la dirección de tu nueva billetera copiada desde la pantalla del dispositivo y, antes de enviar nada, ves la tasa y el monto que vas a recibir.

• La tasa fija se mantiene unos 15 minutos: tienes tiempo de sobra para verificar la dirección en la pantalla de la billetera.
• VertEXchange no guarda tus monedas: van directo a tu nueva dirección.
• Si el intercambio no se completa, las monedas vuelven a tu dirección de reembolso.
• Los datos personales de la operación se borran 24 horas después de terminar, y el historial de intercambios queda solo en tu navegador.
• Si algo no te queda claro, hay chat de soporte en cada página y tu caso se resuelve con el código del intercambio.

Lo más común en una mudanza es cambiar USDT TRC20 por bitcoin directo a la billetera nueva o intercambiar ethereum por bitcoin sin registro, para tener lo principal en una sola moneda.

Preguntas frecuentes

¿Qué pasó con las billeteras Ledger en octubre de 2026?

Usuarios del Sudeste Asiático que compraron billeteras Ledger al revendedor CryptoBilis reportaron robos de monedas. Los analistas on-chain calculan pérdidas de entre 72 y 86 millones de dólares en las redes Bitcoin, Ethereum y TRON. Ledger investiga los casos y suspendió las ventas a través de ese vendedor.

¿Hackearon a Ledger?

Según la empresa, no hay señales de que sus sistemas o el software de la billetera hayan sido vulnerados. La investigación se centra en dispositivos vendidos por un único revendedor externo. La causa de los robos todavía no se conoce.

Compré un Ledger a CryptoBilis, ¿qué hago?

Si el dispositivo todavía no está configurado, no lo configures y escribe al soporte de Ledger. Si ya lo usas, mueve tus monedas a un dispositivo nuevo comprado al fabricante, con una frase semilla nueva.

¿Cómo saber si mi billetera física fue manipulada?

La señal principal es una frase semilla que no creaste tú: una tarjeta impresa en la caja, un PIN ya configurado o un dispositivo que llegó listo para usar. Una billetera auténtica te muestra las palabras en su propia pantalla durante la primera configuración.

¿Es segura una billetera física después de este caso?

Sí, si la compraste al fabricante y la frase semilla la generaste tú. Una billetera física protege la clave de la computadora y de los virus, pero no de una frase que alguien ya conocía.

¿Se pueden recuperar las criptomonedas robadas?

Solo hay posibilidades con las stablecoins: el emisor puede congelar USDT o USDC a pedido de la policía si todavía no se cambiaron. Recuperar bitcoin o ether es casi imposible, por eso es tan importante mover tus monedas a tiempo.