¿Cartera Ledger pirateada? Cómo sucede y qué hacer

Han desaparecido fondos, o ha leído sobre un «hackeo de Ledger» y no sabe qué significa para usted. Ambos empiezan en el mismo punto. La distinción entre los incidentes documentados, cómo se comprometen realmente las carteras de hardware y cuáles son sus opciones ahora determina qué debe hacer a continuación.

¿Puede piratearse una cartera de hardware Ledger?

No de forma remota, y no como la mayoría imagina. Un dispositivo Ledger almacena las claves privadas en un chip Secure Element: un componente resistente a manipulaciones, certificado EAL5+, que no expone los datos de las claves ni bajo ataque físico directo. No existe ningún caso documentado de alguien que extrajera de forma remota claves privadas de un dispositivo Ledger y vaciara fondos directamente a través del hardware. Cuando la gente dice que un Ledger fue «pirateado», casi siempre describe otra cosa: una página de phishing, una frase de recuperación expuesta o una solicitud de aprobación maliciosa. Esta distinción importa porque señala dónde estaba la verdadera debilidad.

Qué implicaron realmente los incidentes de seguridad propios de Ledger

En julio de 2020, la base de datos de comercio electrónico y marketing de Ledger fue comprometida por un atacante que explotó una clave API. Unos 272.000 clientes vieron expuestos sus nombres, correos electrónicos, números de teléfono y, en algunos casos, direcciones postales. No se expusieron claves privadas, ni frases de recuperación, ni datos de cartera, ni fondos. La brecha estaba en los servidores de la empresa, no en el nivel del dispositivo.

Lo que siguió fue una campaña de phishing sostenida y bien financiada que usaba esos datos filtrados. Correos dirigidos con nombres reales de clientes, convincentes sitios web falsos de Ledger y contactos de soporte suplantados estaban diseñados para obtener frases de recuperación de usuarios de Ledger que creían que el contacto era legítimo. La mayoría de los casos descritos como «mi Ledger fue pirateado» se remontan a esa campaña, no a una vulneración del propio hardware.

En diciembre de 2023, el Connect Kit de Ledger —una biblioteca JavaScript que muchas aplicaciones DeFi usan para conectarse a carteras de hardware— se vio comprometido mediante un ataque a la cadena de suministro sobre las credenciales de un exempleado. El atacante inyectó código malicioso que incitaba a los usuarios a aprobar transacciones fraudulentas a través de sus carteras. Fue un ataque a la capa de software que afectaba a la interfaz del navegador, no al modelo de seguridad del dispositivo Ledger. Los usuarios que aprobaron las solicitudes perdieron fondos; los que no lo hicieron no se vieron afectados.

Cómo se comprometen realmente las carteras Ledger

Phishing y aplicaciones falsas

El phishing es, con diferencia, la causa más común. Correos falsos, páginas falsas de descarga de Ledger Live y cuentas falsas de soporte en Reddit y Telegram piden su frase de recuperación de 24 palabras bajo el pretexto de una actualización de firmware, una verificación de cuenta o una alerta de seguridad. Una vez que alguien tiene esas 24 palabras, tiene la cartera: puede regenerar todas las claves privadas y vaciar todas las cuentas, normalmente en cuestión de minutos. Cómo funciona cada tipo de phishing y cuáles son las señales de alerta se explica en detalle aquí.

Dispositivos falsificados

El hardware falsificado es un riesgo menos común pero documentado. Dispositivos manipulados, idénticos por fuera a un Ledger auténtico, pueden llegar precargados con una frase de recuperación ya conocida por el atacante; cada moneda enviada a esa cartera queda inmediatamente a su disposición. Algunos dispositivos falsos indican que utilice una frase impresa en una tarjeta de la caja en lugar de generar una nueva. Un Ledger auténtico siempre genera una frase aleatoria nueva durante la configuración inicial. Compre solo en ledger.com o a través de un canal autorizado que figure en la lista oficial, y realice la comprobación de autenticidad antes de añadir fondos.

Exposición de la frase de recuperación

La exposición de la frase de recuperación cubre cualquier cosa que hiciera visibles sus 24 palabras para otra persona: una foto en un teléfono luego comprometido, palabras escritas en un dispositivo conectado, una copia guardada en un correo o en la nube, o una frase introducida en un sitio falso. La frase no tiene que ser robada en tiempo real; puede encontrarse y usarse meses o años después. Cómo almacenar una frase de recuperación de forma segura en el futuro se explica aquí.

Aprobaciones maliciosas de transacciones

El incidente del Connect Kit de diciembre de 2023 mostró una cuarta vía: alguien que no puede acceder a sus claves puede vaciar su cartera igualmente si consigue que apruebe una transacción fraudulenta. dApps maliciosas, solicitudes de aprobación falsas y bibliotecas de conexión de carteras comprometidas pueden presentar transacciones de aspecto plausible que vacían una cuenta al firmarlas. El dispositivo sigue seguro; la aprobación es la superficie de ataque. Verifique cada firma en la pantalla del propio dispositivo, no en la ventana del navegador, y nunca firme una transacción que no reconozca por completo.

Si han desaparecido fondos: qué hacer ahora mismo

No añada más fondos a la cartera comprometida: todo lo que envíe se vaciará tan rápido como el saldo anterior, porque los atacantes suelen vigilar las direcciones automáticamente. Si otras carteras comparten la misma frase de recuperación, mueva esos fondos a una cartera nueva con una frase completamente nueva de inmediato, antes de hacer cualquier otra cosa.

Documente todo antes de actuar: hashes de transacciones, marcas de tiempo, direcciones de cartera y cualquier correo, URL o mensaje con el que interactuara antes de que desaparecieran los fondos. Las autoridades investigan cada vez más el robo de criptomonedas, y esta documentación es lo que hace accionable un caso. En EE. UU., denuncie ante el IC3 en ic3.gov; en otros países, la unidad local de delitos financieros o ciberdelitos es el punto de partida.

¿Pueden recuperarse las criptomonedas robadas?

Las transacciones de blockchain son irreversibles por diseño. Una vez que los fondos salen de una cartera, están bajo el control del destinatario, y ningún servicio puede revertirlas. Lo que la investigación forense de blockchain puede hacer es rastrear a dónde fueron los fondos: las transacciones son públicas y las autoridades a veces pueden congelar fondos que están en un servicio cooperante. Rastrear no es recuperar, y cualquiera que garantice la recuperación de fondos robados a cambio de un pago anticipado está cometiendo una estafa de recuperación: una segunda victimización sobre la primera.

Crypto Recovers no gestiona casos de robo o fraude. Nuestro enfoque es la recuperación técnica de acceso: personas que todavía poseen sus criptomonedas pero ya no pueden alcanzarlas por un PIN olvidado, palabras que faltan en una frase de recuperación, una frase inválida o una copia dañada. Si su problema es la pérdida de acceso y no un robo, recupere el acceso a su cartera Ledger. Si sus fondos fueron robados por un tercero, el curso adecuado es denunciarlo a las autoridades y, para cantidades importantes, considerar un despacho especializado en forensia de blockchain.

FAQ: pirateo de Ledger

¿Se ha pirateado alguna vez Ledger?

La base de datos de comercio electrónico de Ledger se vulneró en 2020, exponiendo datos de contacto de clientes, y una biblioteca de Ledger (Connect Kit) se vio comprometida en 2023. Ningún incidente expuso claves privadas ni frases de recuperación de los propios dispositivos Ledger.

¿Puede piratearse un Ledger de forma remota?

No hay ningún caso documentado de alguien extrayendo de forma remota claves privadas de un dispositivo Ledger. Las vulneraciones reales pasan por phishing, frases expuestas, dispositivos falsificados o aprobaciones fraudulentas de transacciones, no por el hardware.

Mi Ledger fue «pirateado»: ¿qué hago primero?

Mueva inmediatamente todos los fondos restantes de cada cartera que utilice esa frase de recuperación a una cartera nueva con una frase nueva. A continuación, documente los hashes de transacciones y las marcas de tiempo, y denuncie el robo al canal policial correspondiente. No añada más fondos a la cartera comprometida.

¿Puede robarse una frase de recuperación de un dispositivo Ledger?

No. El Secure Element no expone la frase, y ningún ataque documentado la ha extraído del hardware. La frase corre riesgo en papel, en fotos, en la nube y en formularios de phishing, no dentro del dispositivo.