Tether bloquea $10M vinculados al robo de la billetera CryptoBilis Ledger

Tether ha congelado 10 millones de dólares de su criptomoneda USDT después de que un robo drenara hasta 93 millones de dólares en activos de las carteras de hardware Ledger vendidas por CryptoBilis, mientras continúa la investigación sobre el flujo de dinero y Ledger afirma que el problema está aislado.

Información confirmada proporcionada por Ledger hasta ahora

El fabricante francés de carteras de criptomonedas aún no se ha pronunciado sobre las pérdidas. Ledger ha dicho que todos los casos identificados por la empresa involucran dispositivos vendidos por CryptoBilis, un proveedor de terceros que operaba en Malasia, Indonesia y Filipinas. La compañía también enfatizó que no había indicios de compromiso de los sistemas, servicios y ventas directas de Ledger.

Un descubrimiento añadió un elemento de manipulación física al caso de vulnerabilidades relacionadas con el software. El 10 de octubre, la empresa declaró que uno de los usuarios afectados poseía un dispositivo en el que se había instalado un implante físico no autorizado, lo que se ha convertido en la primera evidencia de una compromiso físico de las carteras Ledger en este caso.

El mensaje para los compradores por su parte es muy claro. Si has comprado un dispositivo CryptoBilis en los últimos 90 días y aún no lo has configurado, déjalo intacto. Si estás utilizando el dispositivo ahora mismo, transfiere tus monedas a otro dispositivo con una nueva frase de recuperación.

Cómo los investigadores calcularon las pérdidas

Estas cifras son atribuidas por analistas de cadena (on-chain) en lugar de por Ledger. Bitquery estimó que el ataque implicó $93,2 millones desviados de 315 carteras en seis blockchains separadas, principalmente USDT y TRON. La plataforma de seguridad YFarmX estableció una cifra más alta, afirmando que el ataque supuso $94,5 millones extraídos de 521 carteras en siete blockchains diferentes. Ambas estimaciones se basaron en datos públicos de la cadena.

Según el análisis de Bitquery, la mayor parte del dinero robado se atribuye a TRON, con aproximadamente 70,5 millones de dólares, seguidos por otros 16,8 millones en Bitcoin y 3,7 millones en Ethereum, y cantidades mucho menores en BNB Chain, Polygon y Solana. Se afirma que la operación fue planeada durante meses: las direcciones involucradas en el robo fueron creadas el 25 de septiembre y realizaron decenas de transferencias de prueba hasta principios de octubre.

La transferencia principal tuvo lugar el 9 de octubre, cuando Bitquery afirma que los atacantes reescribieron los permisos para 30 billeteras en TRON antes de transferir unos 203,8 BTC desde 111 billeteras de Bitcoin dentro de un solo bloque una hora después. Este tipo de operación solo puede llevarse a cabo si el atacante posee las claves necesarias.

Esto es importante porque los emisores de las stablecoins pueden incluir en listas negras las monedas utilizadas para actividades ilegales. Bitquery, que verificó el congelamiento de Tether, informó que aún había alrededor de 81 millones de dólares en tokens rastreables en la cadena hasta el 11 de octubre, pero algunos fondos han pasado a través de los servicios mezcladores de Tornado Cash y Zcash.

Resistencia por parte de un distribuidor autorizado

Sin embargo, la caracterización que hizo Ledger de la situación como un problema de CryptoBilis no ha sido bien recibida. El revendedor tenía un distintivo oficial de Ledger en su sitio web, lo que hace a Ledger responsable de esta situación, ya que «no es un incidente de CryptoBilis, es un incidente de Ledger». El usuario de X MyCryptoParadise le dijo a la empresa que «asuma la responsabilidad de este desastre».

Aún hay otro lado de la historia por parte del revendedor. Según Arravind Prabu, uno de los cofundadores, CryptoBilis fue adquirida en marzo de 2026 y todo el equipo transfirió el acceso al sistema durante la adquisición, según se cita en Learning Crypto.

El único nuevo inversor de la empresa estaba registrado en China, según los registros declarados por la compañía. Hasta ahora, no se han establecido vínculos entre los robos y el cambio de propiedad, y la investigación no encontró indicios de manipulación por parte de los nuevos inversores.

CryptoBilis ha suspendido las ventas y entregas de todas las marcas que comercializa y ha cerrado sus tiendas físicas en los tres países.

El implante que Mark Karpelès desmanteló

Quizás la descripción más definitiva del hardware pueda ser proporcionada por el fundador de Mt. Gox, Mark Karpelès. Karpelès desmontó un Ledger Nano X comprado en Malasia y, como informó informa Learning Crypto, descubrió componentes adicionales que se ocultaban debajo de la pantalla: un módem celular, una eSIM y un pequeño chip que le permitiría interceptar lo que se mostraba en la pantalla.

Al configurar la billetera, las palabras de recuperación se muestran en esa pantalla. Un componente capaz de interceptar los datos de la pantalla permitiría enviar las palabras a través de la red móvil y, como resultado, recrear la billetera en otro lugar y robar el dinero. Todavía debe demostrarse si todos los dispositivos contenían esos componentes.

Cabe señalar que este caso es distinto de otro robo ocurrido en marzo, que tuvo lugar en abril cuando estafadores utilizaron la aplicación Ledger Live en la App Store de Apple para robar al menos 9,5 millones de dólares.