Un agujero perforado por un distribuidor de billeteras: un límite de responsabilidad de 100 USD no cubre una pérdida de 90 millones

El 13 de octubre por la tarde, Ledger emitió su actualización oficial más extensa desde el incidente, describiendo el método de ataque hasta el nivel de componente: el módulo implantado está oculto dentro de la carcasa del dispositivo, «leyendo los datos mostrados en la pantalla». Durante la inicialización, el dispositivo muestra una frase semilla de 24 palabras en la pantalla; el módulo la reconoce y descifra mediante un microcontrolador, luego la transmite mediante una eSIM preconfigurada vía LTE.

Más críticamente, se emitió una aclaración: el módulo implantado es un componente independiente, no modifica el elemento seguro, ni el sistema operativo, ni las transacciones o firmas. El chip es auténtico, el sistema es original y cada transacción es confirmada por el usuario. Las verificaciones enseñadas a los usuarios por la industria fueron superadas por todos los dispositivos de este lote. La frase semilla solo apareció en pantalla unos segundos, pero había un par adicional de ojos.

Sin embargo, esta actualización solo respondió «qué ocurrió dentro del dispositivo», sin abordar «qué pasa con quienes perdieron dinero». Entre 164 respuestas, las preguntas más votadas fueron casi todas iguales: si los dispositivos comprados a distribuidores autorizados fueron manipulados y causaron pérdidas financieras, ¿asumirá Ledger la responsabilidad y compensará? ¿Qué pasa con los usuarios del canal MediaMarkt en la UE? La postura de Ledger es que todas las pérdidas financieras confirmadas involucran dispositivos vendidos por CryptoBilis, mientras que otros canales «aún no están verificados».

Hace cuatro días era simplemente «un problema con un distribuidor de cierta empresa»; ahora es una pregunta que toda la industria de billeteras hardware debe responder juntamente: ¿quién es responsable de la integridad del dispositivo desde el momento en que sale de fábrica?

I. De un distribuidor a una cadena

El 9 de octubre, usuarios del sudeste asiático reportaron transferencias no autorizadas de activos; el 10, Ledger confirmó que el dispositivo de un usuario afectado contenía implantes de hardware no autorizados, obteniéndose así la primera evidencia física; ese mismo día, CryptoBilis anunció la suspensión de ventas y envíos de dispositivos Ledger. Un distribuidor autorizado, un lote de usuarios afectados, una ruptura: la narrativa hasta ese punto estaba casi completa.

Pero en los días siguientes, cada nueva pista amplió este marco.

La primera anomalía radica en los propios dispositivos. La mayoría de los dispositivos modificados confirmados son nuevos, no unidades devueltas. El modelo de riesgo habitual de la industria siempre ha sido «el usuario compra un dispositivo nuevo → se modifica → se devuelve → el siguiente cliente es afectado», lo que supone que la modificación ocurre tras la venta; el hecho de que dispositivos nuevos hayan sido manipulados implica que la alteración tuvo lugar antes de llegar al usuario: el problema pasó de «un eslabón en la cadena de suministro» a «un paso en el almacén».

La segunda anomalía es la calidad artesanal. Karpelès comparó muestras tempranas con las más recientes en su blog: las primeras mostraban signos obvios de fabricación manual, mientras que las últimas parecen producidas bajo demanda. Si esta observación es válida, la manipulación no fue una decisión improvisada de un individuo, sino una cadena capaz de producir masivamente módulos implantados. Las cifras de la cadena también se revisan al alza: Specter estimó inicialmente más de 86 millones USD, mientras que el análisis de Bitquery del 12 de octubre en 324 billeteras y múltiples cadenas estimó unos 102 millones USD. Ledger, sin embargo, solo declaró: «No hemos confirmado aún el número total de usuarios afectados ni el valor total de las pérdidas».

Luego las pistas comenzaron a cruzar fronteras. En Europa, el usuario Johannes reportó haber comprado dos dispositivos modificados en dos tiendas distintas de MediaMarkt y pidió a los empleados verificar los registros de inventario; al menos uno provenía de Aqipa GmbH, un distribuidor para toda Europa, potencialmente afectando zonas más allá de Alemania. En Asia, el dispositivo de Karpelès se compró en Amazon Japón, enviado por un vendedor chino y con origen en Malasia; el canal Nano X reportado por el instituto de investigación Tibane Labs también envió desde Malasia. Dos pistas separadas por miles de kilómetros apuntan al mismo lugar de envío.

El otro extremo de la cadena es igualmente profesional. Tether congeló 10 millones USD en USDT el primer día; el atacante convirtió inmediatamente 15 millones USD en USDD (que Tether no puede congelar), luego volvió a convertir unos 5,1 millones USD en USDT, de los cuales unos 4,23 millones fluyeron a una dirección de depósito de Binance; además, 2.810 ETH ingresaron a Tornado Cash en tres rondas. Al 11 de octubre, el atacante aún mantenía 15.475 ETH, 203 BTC y 10 millones USD en USDT. CZ planteó una especulación más radical: el atacante habría comprado al distribuidor y le hizo firmar un acuerdo de confidencialidad para guardar silencio. Esta afirmación aún no está verificada, pero la profesionalidad de la cadena es evidente.

Al reunir estas pistas, resulta difícil explicarlo como «casual»: un distribuidor sobornado es un accidente; una cadena transfronteriza capaz de modificaciones masivas y evasión de congelamientos es una vulnerabilidad. Lo primero se resuelve eliminando al distribuidor; lo segundo, no. Ledger afirma estar desarrollando medidas hardware más robustas contra manipulaciones, pero no especifica detalles ni cronograma; su solución de autoverificación consiste en que los usuarios comparen fotos de componentes y examinen ellos mismos el dispositivo, aunque el tutorial oficial advierte simultáneamente que abrirlo podría dañarlo. Un proceso de verificación que exige desmontar el dispositivo revela que la industria aún carece de una respuesta.

II. ¿Qué hacen los competidores?

Fuera del incidente, las diferencias en las respuestas de diversos fabricantes son aún más reveladoras. De hecho, CryptoBilis no solo vende Ledger, sino también numerosas billeteras hardware como Trezor, CoolWallet, Tangem, OneKey, SecuX y Ellipal.

El día del incidente, la cuenta china de Keystone publicó sobre la función de autodestrucción de nivel PCI del Keystone 3 Pro: al detectar desmontaje físico o manipulación, borra automáticamente los datos del chip, dejando el dispositivo inutilizable. Este tuit recibió 42.000 visualizaciones. Golpeó precisamente el talón de Aquiles del ataque: el módulo implantado requiere abrir la carcasa, y la autodestrucción convierte la «instalación silenciosa» en «una vez instalado, desaparece». Pero justamente por elegirse en ese momento, sacó a la luz un asunto incómodo: la industria ya tenía respuestas técnicas, pero nadie consideró necesario implementarlas antes.

La primera respuesta de la mayoría de los fabricantes fue distanciarse. Trezor eliminó a CryptoBilis de su lista de distribuidores autorizados y suspendió ventas por ese canal, recordando a los usuarios que no desmonten el dispositivo; imKey declaró no haber recibido retroalimentación al respecto y verificará sus canales autorizados.

SafePal subrayó que sus dispositivos verifican la autenticidad y el estado de uso durante la configuración inicial, emiten advertencias para dispositivos previamente activados y muestran la fecha de primera activación, utilizando sellos a prueba de manipulación para identificar si el embalaje ha sido abierto. Tangem fue más lejos: hizo imposible la manipulación desde el nivel arquitectónico; el chip seguro y la antena NFC están integrados y sellados, las claves privadas se generan y firman dentro del chip, y el firmware escrito en fábrica no puede modificarse. «Independientemente de que los usuarios compren a través de tiendas oficiales, distribuidores u otros canales, siempre que la aplicación verifique que el dispositivo es auténtico, se garantiza que la clave privada está bajo el control exclusivo del usuario.»

Sin embargo, la declaración de Tangem evita precisamente el meollo del asunto: ¿puede la verificación autocomprobarse? El hecho es que el «Genuine Check» de Ledger solo verifica que el chip seguro es auténtico, pero no detecta alteraciones físicas en los componentes que lo rodean: dispositivos con módulos implantados pueden superar las pruebas de autenticidad. Por muy estricto que sea el control del canal, solo reduce la probabilidad, no elimina el riesgo.

Ante la desconfianza del mercado, OneKey anunció reemplazos gratuitos incondicionales para los usuarios que compraron por ese canal desde marzo de este año, sin necesidad de devolver los dispositivos antiguos, mientras reevalúa a todos sus distribuidores actuales, indicando que «si no se puede verificar la entidad operativa o no se puede identificar al beneficiario final, se retirará la autorización», y reconociendo que «la red de distribuidores se reducirá significativamente.»

III. 100 USD: El límite de responsabilidad revelado

Tras difundirse la noticia de los reemplazos gratuitos de OneKey, la comunidad comenzó a revisar su acuerdo de usuario, lo que irónicamente desencadenó una grave crisis pública para la propia OneKey.

El actual «Acuerdo de Servicio», Artículo 15.5, establece: si se determina que OneKey es responsable ante los usuarios, su límite acumulado de responsabilidad no excederá el mayor de los siguientes tres valores: (a) el precio real de compra del dispositivo; (b) las tarifas realmente pagadas por el usuario por los servicios de pago en los 12 meses previos al incidente; (c) cien dólares estadounidenses (USD 100). Además, este es un «límite acumulado único: múltiples reclamaciones, múltiples incidentes o múltiples fundamentos legales no incrementarán su monto.»

El Artículo 15.4 es aún más exhaustivo: en la máxima medida permitida por la ley aplicable, OneKey no será responsable de ninguna pérdida o deterioro de activos digitales, independientemente de su causa; el dispositivo y la aplicación son meras herramientas para gestionar claves y no ofrecen seguros ni garantías sobre los activos. El Artículo 15.6 explica el fundamento: la aplicación y la mayoría de los servicios son gratuitos, el precio del dispositivo no incluye seguro de activos, OneKey nunca retiene los activos ni las credenciales de los usuarios, ni conoce el monto almacenado. El Artículo 15.10 reserva una vía de escape: OneKey podrá decidir, a su discreción, otorgar compensaciones, reemplazos u otra asistencia, pero tales medidas constituyen únicamente gestos de buena voluntad, no reconocen responsabilidad, no crean precedentes ni obligaciones para nadie, y podrían exigir al usuario firmar una renuncia como condición.

Debe aclararse que esto no es exclusivo de OneKey. Un representante oficial de OneKey ha enumerado otras billeteras hardware cuyos acuerdos de usuario también incluyen cláusulas de compensación muy limitadas. Establecer un límite de responsabilidad en el precio del dispositivo o en una cifra fija pequeña es un diseño común en la industria de billeteras hardware. Lo verdaderamente discutible es la incongruencia evidenciada al compararlo con los «reemplazos gratuitos»:

Por un lado, un nuevo dispositivo que cuesta cientos de dólares, dispuesto a asumir responsabilidad activa durante 180 días adicionales; por otro, un contrato que limita la responsabilidad a 100 USD y afirma que «cualquier asistencia no constituye reconocimiento de responsabilidad». Ambas posturas son comercialmente válidas, pero generan una percepción dividida entre los usuarios: una empresa puede alcanzar moralmente 120 puntos, mientras contractualmente se compromete solo a 100 USD. Y esos 100 USD son precisamente lo único que puede invocarse cuando el riesgo recae efectivamente sobre el usuario.

Refleja una desconexión estructural en toda la categoría. El fundamento ético de la custodia propia es «los usuarios gestionan sus propias claves, por tanto asumen las consecuencias». Este supuesto se ha fracturado por primera vez en este incidente: el eslabón vulnerado —desde la fábrica al almacén, desde el distribuidor hasta la puerta del usuario— es justo la parte que los usuarios no pueden controlar ni verificar de ningún modo. La responsabilidad se ha trasladado íntegramente al usuario, mientras que el control sobre el riesgo permanece en manos de los fabricantes.

Las billeteras hardware siempre han vendido «herramientas», no «custodia». Cuando la herramienta misma se convierte en una superficie de ataque, la narrativa de que «las herramientas no son responsables» enfrenta su primera prueba real de estrés.

IV. 2026: El «año físico» de las billeteras hardware

Ampliando la perspectiva, este incidente es el más reciente y costoso de una serie de problemas ocurridos este año.

En 2026, seis marcas de billeteras hardware han divulgado problemas de seguridad, pero solo dos incidentes han causado pérdidas reales a los usuarios: en julio, la entropía débil del firmware de Coldcard permitió adivinar frases de recuperación, provocando pérdidas superiores a 115 millones de USD según Galaxy Research; y esta vez, la brecha en la cadena de suministro de Ledger ocasionó unas pérdidas de aproximadamente 90 millones de USD. El total asciende a unos 205 millones de USD. La evaluación de la agencia de análisis Wise Advice es: «2026 podría convertirse en el año más caótico de la historia de la seguridad de billeteras hardware.»

Los demás problemas están distribuidos en distintos puntos de la misma cadena: en junio, el equipo de seguridad de Ledger usó láseres para penetrar el chip del Trezor Safe 7, y en julio, lo hizo con tarjetas Tangem (ambos requirieron equipamiento de laboratorio; Tangem afirma que el riesgo para usuarios comunes es «casi inexistente»); BitBox corrigió varias vulnerabilidades de firmware calificadas como «graves» por sus ingenieros en agosto, sin causar pérdidas; el proveedor logístico de Trezor filtró datos de 13 689 compradores; SafePal filtró casi 40 000 direcciones domiciliarias.

Este año, ningún chip de seguridad ha sido vulnerado realmente fuera del laboratorio. Los atacantes sortearon la criptografía y se centraron en elementos adyacentes: números aleatorios, albaranes logísticos, almacenes de distribuidores y entregas a la puerta del usuario.

La industria busca respuestas, pero aún no hay consenso. Yu Xian, fundador de Slow Mist, considera que «los mecanismos de autodestrucción serán una característica necesaria… de lo contrario, se requerirá otro mecanismo para demostrar que la billetera hardware que poseo corresponde a la intención original oficial»; Mindao replica que, una vez activada la autodestrucción, no se puede probar si el dispositivo fue manipulado, mientras que las piezas extraíbles permiten al menos comparar diagramas de circuitos, y Ledger ofrece efectivamente una verificación de integridad hardware al inicio, aunque es «demasiado técnica» para usuarios comunes; otros proponen la solución más sencilla: multisignatura cruzada entre marcas, con Trezor, OneKey y Keystone cada uno custodiando una clave, usando Sparrow o Electrum para una configuración 2/3, «para evitar que una parte actúe mal.»

Ninguna de estas propuestas incluye «comprar un chip mejor». Todas apuntan a lo mismo: el límite de seguridad se ha ampliado desde el chip hacia fuera del chip.

Conclusión

«La clave privada nunca ha salido del dispositivo» es una promesa que la industria de billeteras hardware ha vendido durante diez años. En este incidente, es literalmente cierta, pero carece de sentido.

El componente de seguridad no se modificó, el sistema operativo no se alteró, cada transacción fue confirmada por el usuario y las 24 palabras nunca salieron de ese chip. Es irrelevante porque la clave no necesita salir del dispositivo: basta con mirarla unos segundos en la pantalla. Lo que se vulneró no es la criptografía ni siquiera el chip, sino la propia acción de «verificación»: Genuine Check puede verificar la autenticidad del chip, pero no puede verificar los ojos junto a la pantalla.

Por tanto, la lección que debe aprender la industria no es reforzar la gestión de canales, sino permitir que el dispositivo se autentique a sí mismo, elevando el estándar de aceptación de «el chip es auténtico» a «la unidad completa es original». Los mecanismos de autodestrucción podrían pasar de opcionales a obligatorios, lo cual es más fundamental que cualquier reducción de listas de distribuidores.

La cuestión de la responsabilidad sigue sin resolverse. El diseño contractual habitual en esta industria consiste en hacer los servicios lo más exigentes posible, mientras se limita la responsabilidad acumulada al precio de un solo dispositivo o una pequeña cantidad fija. Quizá no se trate de evadir responsabilidades, sino de describir con precisión la estructura de responsabilidad de este sector: crea herramientas, no gestiona activos. El verdadero problema es que los usuarios siempre han creído estar comprando algo más que simples herramientas.