Hallan un Ledger con chip espía en Ozon: qué se sabe y qué hacer si tu billetera viene de un marketplace

Qué encontraron en el Ledger de Ozon

La historia de las billeteras de hardware Ledger con un implante espía ha llegado a Rusia. En el registro abierto de dispositivos infectados que Mark Karpeles mantiene desde el 13 de octubre apareció un Ledger Nano X comprado en el marketplace ruso Ozon. Bits.media lo publicó el 16 de octubre.

El comprador abrió el dispositivo y publicó fotos. Dentro había algo que un Nano X auténtico no tiene:

• una placa negra delgada entre la pantalla y la placa principal, con un módulo de comunicación y un conector de antena;
• una antena impresa en la carcasa con una marca en chino que significa "versión euroasiática" y el número de revisión V1.1;
• una batería sustituida con una pequeña placa y cables soldados a la placa de la billetera junto al conector USB-C.

La misma batería estaba en el primer dispositivo infectado de MediaMarkt, y la antena es una revisión posterior de la misma pieza. No encontramos ninguna reacción de Ozon ni de Ledger a este caso en concreto.

Ledger no vende oficialmente en Rusia: en la lista de revendedores autorizados de su sitio web no figuran ni Rusia ni Ozon. Todo lo que se vende en los marketplaces llega a través de intermediarios, y cada uno es un eslabón más entre la fábrica y tus monedas. Con las criptomonedas pasa lo mismo: cuantas menos manos haya entre tú y tus monedas, mejor; por eso muchos no las compran en una plataforma de trading, sino a través de un exchange de criptomonedas que las envía directamente a su propia dirección.

Cómo funciona el implante

Ledger describió el mecanismo el 13 de octubre, tras el análisis de su equipo de seguridad Donjon. El implante no vulnera el chip seguro ni modifica el firmware. Lee lo que muestra la pantalla.

"Durante la configuración, el dispositivo muestra la frase de recuperación de 24 palabras. Cuando el implante detecta esas pantallas, su microcontrolador decodifica las palabras y las transmite por LTE mediante una eSIM aprovisionada."

De ahí la conclusión principal: el momento peligroso es la creación de la billetera. La frase llega al atacante, la billetera se ve y funciona con normalidad, y después la vacían. Eso les pasó el 9 de octubre a los compradores del revendedor malasio CryptoBilis: según los analistas de Bitquery, en un día se llevaron unos 102 millones de dólares de 324 billeteras. Ledger no confirma la cifra total. Lo contamos en detalle en el artículo sobre el implante confirmado en dispositivos Ledger.

Un detalle importante: la verificación de autenticidad de Ledger, Genuine Check, no detecta este implante. La propia Ledger escribe que la verificación no puede detectar modificaciones físicas no autorizadas del hardware si el chip seguro original sigue intacto. El comprador del primer dispositivo de MediaMarkt asegura que su billetera pasó la verificación.

15 dispositivos, 9 vendedores

A 16 de octubre, el registro de Karpeles reúne 15 entradas de 9 vendedores. En 12 casos el implante está confirmado, otros dos son falsificaciones y un dispositivo está en camino para su análisis.

Se han encontrado implantes en los modelos Nano X, Flex y Stax. Los primeros casos se remontan a 2025, y el primer análisis público del implante lo hizo el investigador Joe Grand en julio de 2026. El 15 de octubre Ledger escribió que "no fue un ataque sistémico a la cadena de suministro, sino un ataque localizado a la distribución", pidió suspender las ventas en el Sudeste Asiático y Hong Kong, y ordenó a los revendedores entregar los dispositivos directamente desde el almacén, sin exponerlos en estanterías ni vitrinas.

Ya contamos cómo, tras esta historia, Trezor recorta revendedores y MediaMarkt retira Ledger de sus tiendas.

Phishing con una falsa "actualización de firmware"

Al mismo tiempo, los estafadores empezaron a sacar provecho del miedo. El 16 de octubre SlowMist alertó de una campaña de correos en nombre de Ledger: el mensaje dice que hay que actualizar el firmware para proteger el dispositivo "de nuevas amenazas de spyware, como los recientes incidentes en Malasia", y lleva a un sitio con selector de modelo y una página falsa de Genuine Check.

Parece convincente, pero el objetivo es uno solo: la frase de recuperación. SlowMist aconseja no actualizar nunca el firmware desde enlaces de sitios web y no introducir la frase en ningún sitio. Ledger, por su parte, recuerda que nunca llama, nunca escribe directamente y nunca pide las 24 palabras. El firmware se actualiza solo en la aplicación oficial Ledger Wallet.

El estafador al que robaron

La historia tiene también un lado casi cómico. Según Chainalysis, una de las mayores víctimas del 9 de octubre fue un estafador: perdió más de 60 BTC, unos 4,8 millones de dólares.

El dinero venía de una estafa de "tareas": a la gente le pagaban por simular ventas y escribir reseñas falsas, luego le mostraban un "saldo negativo" y le exigían depositar dinero propio. El 22 de septiembre el organizador movió lo recaudado a tres direcciones de Ledger, y el 9 de octubre los ladrones vaciaron las tres, con una transferencia cada una a la misma billetera.

Qué hacer si tu Ledger se compró en un marketplace

Si la billetera no se compró a Ledger ni a un revendedor autorizado, parte de la base de que la frase pudo filtrarse. Es lo que Ledger aconseja a los compradores de CryptoBilis, y el mismo orden es razonable para cualquier dispositivo de un canal no oficial:

1. No crees una billetera en él ni introduzcas tu frase si aún no lo has configurado.
2. Si ya lo usas, compra un dispositivo nuevo al fabricante, crea en él una billetera nueva con una frase nueva y pasa ahí todas tus monedas. La rapidez importa más que la comisión.
3. No abras el dispositivo hasta haber movido los fondos: al abrirlo es fácil dañarlo.
4. No actualices el firmware desde enlaces de correos y mensajes, solo en la aplicación Ledger Wallet.
5. Revisa el embalaje y la hoja para la frase: una billetera nueva nunca llega con la frase o el PIN ya rellenados.

La regla principal no ha cambiado: quien conoce tu frase es dueño de tus monedas. Cómo guardarla y qué hacer si se filtra lo explicamos en la guía cómo guardar la frase semilla.

Cómo pasar las monedas a una billetera nueva sin intermediarios de más

Si te mudas a una billetera nueva, conviene recibir las monedas directamente en ella, sin dejarlas por el camino en la cuenta de una plataforma de trading.

En VertEXchange no hay cuenta: no necesitas correo, teléfono ni contraseña. Eliges el par, indicas la dirección de la billetera nueva y, antes de enviar, ves el tipo de cambio y la cantidad que recibirás. Las monedas van directamente a tu dirección; el servicio no las custodia.

• El tipo fijo se mantiene unos 15 minutos mientras se confirma la transferencia.
• Puedes indicar una dirección de reembolso por si el intercambio no se completa.
• Los datos personales de la operación se eliminan 24 horas después de completarla.
• Hay chat de soporte en cada página, y las consultas se resuelven por el código del intercambio.

Así puedes comprar bitcoin con USDT TRC20 directamente en la dirección de tu nueva billetera de hardware o cambiar ETH por BTC sin pasar por una plataforma de trading.

Preguntas frecuentes

¿Ledger vende billeteras oficialmente en Rusia?

No. En la lista de revendedores autorizados de Ledger no figuran ni Rusia ni Ozon, así que todos los dispositivos de los marketplaces rusos llegan a través de intermediarios.

¿Se puede detectar un implante en un Ledger con Genuine Check?

No. La propia Ledger escribe que Genuine Check no puede detectar modificaciones físicas no autorizadas del hardware si el chip seguro original sigue intacto. El implante solo se ve al abrir el dispositivo, y conviene abrirlo después de mover los fondos.

¿En qué modelos de Ledger se ha encontrado el implante?

Según el registro abierto de Karpeles a 16 de octubre de 2026: Nano X, Flex y Stax. El Nano S Plus aparece en el registro solo como falsificación.

¿Qué hacer si el Ledger se compró en Ozon u otro marketplace?

Comprar un dispositivo nuevo al fabricante o a un revendedor autorizado, crear en él una billetera nueva con una frase nueva y pasar ahí todas las monedas. No volver a usar la frase antigua.

¿Se puede actualizar el firmware de Ledger desde un enlace de un correo?

No. El firmware se actualiza solo en la aplicación oficial Ledger Wallet. Ledger nunca llama, nunca escribe directamente y nunca pide la frase de recuperación de 24 palabras.

¿Cuánto se robó a través de los Ledger infectados?

Según Bitquery, unos 102 millones de dólares de 324 billeteras el 9 de octubre de 2026, casi todo a compradores de CryptoBilis. Ledger no confirma la cifra total.