Trezor prescinde de parte de sus revendedores y MediaMarkt deja de vender Ledger: qué cambia para quien compra una billetera

Qué anunció Trezor

El martes 13 de octubre, a las 13:32 UTC, Trezor escribió en X que reduce el número de revendedores para verificar con más rigor a los que se queden. Dos minutos antes, Danny Sanders, director comercial de la compañía (Chief Commercial Officer), había publicado la carta que recibieron los socios. Lo esencial:

• los revendedores que recibieron la carta pierden la autorización el 1 de enero de 2027;
• desde la fecha de la carta ya no reciben nuevos envíos;
• las existencias pueden venderse hasta el 1 de enero, de modo que el Black Friday y la temporada de fiestas transcurrirán con normalidad;
• los socios que continúen recibirán un contrato actualizado y controles más estrictos sobre el origen de los dispositivos, su almacenamiento y las manos por las que pasan.

Sanders explica que la red debe volverse lo bastante pequeña como para que la compañía pueda verificar a cada uno de los que permanecen en ella. Según él, la decisión no valora el negocio de vendedores concretos ni la seguridad de los dispositivos: se revisó país por país y se calculó a cuántos socios es posible controlar de verdad. Trezor no informó cuántos revendedores pierden el estatus ni en qué países. La compañía promete reconsiderar la decisión si cambian las circunstancias.

Trezor subraya aparte que no existe ninguna prueba de que alguien haya manipulado sus dispositivos y que la medida se toma por precaución. A CryptoBilis, el revendedor de Kuala Lumpur que vendía billeteras en Malasia, Indonesia y Filipinas y con el que empezó toda la historia, la compañía lo retiró de su lista ya el 12 de octubre. No se han recibido quejas sobre dispositivos Trezor comprados a ese vendedor.

Qué contó Ledger sobre el implante

Ese mismo día Ledger Donjon, el equipo de seguridad de la compañía, describió por primera vez el implante encontrado en billeteras de CryptoBilis. Según el equipo, dentro de la carcasa hay un módulo independiente que lee los datos que van a la pantalla. Cuando la billetera muestra las 24 palabras en la configuración inicial, un microcontrolador las reconoce y las envía por la red móvil LTE a través de una eSIM preparada de antemano.

El chip seguro, el sistema operativo, las transacciones y las firmas quedan intactos. Por eso la billetera parece en buen estado y se comporta como siempre. Ya analizamos cómo Ledger confirmó un implante de hardware en una billetera de CryptoBilis y por qué la verificación de autenticidad no detecta un esquema así.

Qué más dijo Ledger:

• todos los robos confirmados están vinculados a dispositivos vendidos a través de CryptoBilis;
• la compañía estudia los reportes de implantes en billeteras de otros orígenes, pero no ha confirmado robos relacionados con ellos;
• no hay indicios de intrusión en su propia infraestructura ni en sus servicios;
• las cifras de pérdidas que circulan en internet fueron calculadas por terceros y Ledger no las ha verificado.

Las estimaciones son estas: el investigador Specter contabilizó más de 86 millones de dólares y Bitquery habla de unos 92,9 millones de dólares procedentes de 311 billeteras, de los cuales cerca de 70,5 millones de dólares corresponden a la red TRON. La frase semilla que mostró una billetera así queda comprometida para siempre, y lo único que ayuda es un dispositivo nuevo con una frase nueva. Durante la mudanza, las monedas se pueden transferir tal cual o cambiar de inmediato en un exchange de criptomonedas con pago a la nueva dirección.

MediaMarkt detuvo las ventas de Ledger en Europa

La historia salió de los límites del Sudeste Asiático. Desde el 13 de octubre MediaMarktSaturn, una de las mayores cadenas de tiendas de electrónica de Europa, no vende Ledger ni en tiendas ni en su sitio web: un comprador de Alemania informó que había encontrado un implante en el dispositivo. Un portavoz de la cadena dijo a The Block que la empresa se toma el caso muy en serio. Ledger precisó que en este caso no hubo pérdida de fondos.

Al mismo tiempo circulan reportes que nadie ha confirmado. El viernes 9 de octubre, un usuario de X con el nombre Johannes escribió que había encontrado cables ajenos y módulos de red móvil en dos Ledger de distintas tiendas MediaMarkt. El martes, Mark Karpelès, ex director ejecutivo de Mt. Gox, informó de un implante en un Ledger Flex comprado en el aeropuerto de Singapur. Ledger no ha confirmado que estos hallazgos tengan relación con CryptoBilis.

Qué hacer si la billetera se compró a un intermediario

Los consejos de Ledger se dirigen a los clientes de CryptoBilis, pero la lógica sirve para cualquiera que dude de su dispositivo:

• una billetera sin configurar no se enciende ni se configura; hay que escribir al soporte del fabricante;
• una billetera ya configurada se considera comprometida: hay que crear una nueva con una frase semilla nueva en un dispositivo comprado directamente y pasar allí las monedas;
• si el dinero ya desapareció, primero hay que contactar a la policía y al soporte, y después decidir si se abre la carcasa;
• no conviene desarmar el dispositivo por cuenta propia sin necesidad: Ledger publicó una guía de inspección, pero advierte que así se puede dañar la billetera, y Trezor pide expresamente no abrir la carcasa y acudir al soporte.

Pasar la frase antigua a un dispositivo nuevo no sirve de nada, porque lo robado son las palabras y cambiar de aparato no lo arregla. Cómo anotar la frase nueva y dónde guardarla para que no la vea ni una cámara ni la nube lo explicamos en la guía sobre cómo guardar la frase semilla.

Ya hay quien gana dinero con el pánico por los implantes. Ledger recuerda que nunca llama, nunca escribe primero y nunca pide la frase. La reciente publicación de phishing desde la cuenta de Coldcard sobre una "migración urgente" mostró que un llamado falso puede llegar incluso desde la cuenta auténtica de un fabricante.

Cómo pasar las monedas a una billetera nueva y cambiarlas sin registro

La mudanza a una frase semilla nueva es buen momento para poner orden: reunir los saldos de distintas redes en una sola moneda y recibirla directamente en la dirección de la billetera nueva. Para eso no hace falta abrir una cuenta en una plataforma de trading ni dejar allí las monedas.

En VertEXchange el cambio no requiere cuenta, correo ni teléfono. Eliges el par, indicas la dirección de la billetera nueva y ves la tasa y el monto antes de enviar, y las monedas llegan directo a tu dirección. Así puedes cambiar USDT TRC20 por bitcoin sin registro o convertir ether en bitcoin con pago a una billetera nueva.

• La tasa fija se mantiene unos 15 minutos, tiempo suficiente para enviar la transferencia con calma.
• VertEXchange no custodia tus monedas: el pago va a la dirección que indicas.
• Si el cambio no se completa, las monedas vuelven a la dirección de reembolso.
• Los campos personales de la operación se eliminan 24 horas después de que termina, y el historial de cambios queda solo en tu navegador.
• El chat de soporte está en cada página y la consulta se resuelve con el código del cambio.

Preguntas frecuentes

¿Qué cambia en Trezor a partir del 1 de enero de 2027?

Los revendedores que recibieron la carta de la compañía perderán el estatus de vendedores autorizados. Ya no se les envía mercancía nueva, y las existencias pueden venderse hasta finales de 2026. A los socios que continúan les esperan un contrato actualizado y controles más estrictos.

¿Por qué Trezor recorta revendedores si sus dispositivos no fueron vulnerados?

La compañía lo define como una medida de precaución tras el caso de Ledger y CryptoBilis. Según el director comercial Danny Sanders, la red debe tener un tamaño que permita verificar a cada socio.

¿Cómo funcionaba el implante en las billeteras Ledger?

Según Ledger Donjon, un módulo dentro de la carcasa leía los datos que iban a la pantalla. Durante la configuración reconocía las 24 palabras y las enviaba por la red LTE a través de una eSIM. El implante no tocaba el chip seguro ni el firmware.

¿Por qué MediaMarkt dejó de vender Ledger?

Un comprador de Alemania informó de un implante en el dispositivo que había adquirido. Desde el 13 de octubre MediaMarktSaturn detuvo las ventas en tiendas y en línea. No se informó de pérdida de fondos en este caso.

¿Es seguro comprar una billetera de hardware a un revendedor?

El riesgo es mayor que al comprar al fabricante: el dispositivo pasa por más manos de las necesarias. El implante de CryptoBilis no modificaba el firmware, por eso la verificación de autenticidad estándar no lo detectaba. Lo más seguro es pedirla en el sitio web del fabricante.

¿Qué hacer si la frase semilla pudo haberse filtrado?

Crear una billetera nueva con una frase nueva en un dispositivo comprado directamente y pasar allí todas las monedas. La frase antigua sigue siendo peligrosa para siempre, aunque el dinero todavía esté en su lugar.