-
El botín provenía de una estafa que exigía depósitos para liberar pagos ficticios.
-
Los ladrones vaciaron las tres wallets el mismo día, con una transferencia desde cada una.
Un estafador perdió más de 60 bitcoins (BTC), valorados en unos USD 4,8 millones, durante el ataque que afectó a wallets de Ledger manipuladas físicamente antes de su venta. La firma Chainalysis reveló el caso el 15 de octubre de 2026 y detalló cómo las ganancias de una estafa terminaron en manos de otros delincuentes.
Según Chainalysis, los fondos provenían de una estafa de tareas en la que se pagaba a personas por publicar reseñas y simular ventas de productos reales. Después de los primeros pagos, a las víctimas les aparecía un supuesto saldo negativo y se les exigía depositar dinero propio para poder cobrar. El operador de esta trama acumuló ganancias mediante ese mecanismo.
El 22 de septiembre, trasladó esos fondos a tres direcciones distintas de Ledger. El 9 de octubre, los atacantes vaciaron las tres direcciones mediante transferencias individuales hacia una misma wallet, identificada previamente como receptora de fondos robados.
El caso forma parte de un ataque a la cadena de suministro de dispositivos Ledger, no de una vulneración confirmada de los sistemas informáticos de la empresa. Como reportó CriptoNoticias, los delincuentes compraron dispositivos legítimos, los abrieron e instalaron componentes electrónicos ocultos capaces de capturar las 24 palabras de recuperación que aparecen en la pantalla durante la configuración inicial. Después, los equipos volvían al circuito comercial.
El implante incorporaba un microcontrolador, una conexión celular LTE y una tarjeta SIM electrónica para transmitir la información sustraída. No necesitaba modificar las firmas ni las transacciones, porque con la frase de recuperación los atacantes podían reconstruir las wallets y disponer de sus fondos.
Ledger confirmó al menos un dispositivo con un implante no autorizado y vinculó los casos confirmados con equipos vendidos por el distribuidor CryptoBilis. Por su parte, la firma de análisis Bitquery estimó pérdidas de unos USD 102 millones en 335 wallets distribuidas en seis redes de criptomonedas, por encima de las primeras estimaciones de entre USD 72 millones y USD 86 millones.
La ironía del caso es que las ganancias de una estafa terminaron en manos de otros delincuentes. El episodio también evidencia que guardar fondos ilícitos en una wallet no los protege de otros actores criminales, especialmente cuando estos consiguen acceso a las claves de recuperación.
Guarda lo que vale la pena descifrar