Dispositivos Ledger falsos y estafas de Ledger: cómo detectarlos y proteger sus fondos

Ledger es una marca de cartera de hardware ampliamente utilizada y su nombre se suplanta con frecuencia. Las estafas dirigidas a los usuarios de Ledger imitan correos, sitios, aplicaciones y dispositivos legítimos. La protección que funciona consiste en entender cómo opera cada tipo de ataque y qué hacer en los primeros minutos después de detectar que quizá ha sido objeto de un ataque.

Por qué se suplanta a Ledger

Una cartera de hardware solo es tan fuerte como la frase de recuperación de 24 palabras que hay detrás. El propio dispositivo está endurecido, pero la frase es el único punto de fallo: quien tenga esas 24 palabras puede regenerar todas las claves privadas y vaciar todas las cuentas sin tocar jamás su Ledger. Los estafadores lo saben, y todas las estafas de Ledger tienen el mismo objetivo: conseguir la frase o engañarle para que apruebe una transacción que no comprende.

Ese único objetivo hace que todo el panorama de estafas sea más fácil de descifrar. Si un correo, un sitio web, una aplicación o una persona le pide su frase de recuperación, una «verificación» de sus palabras o una foto de la tarjeta donde anotó la frase, la conversación es una estafa, tenga el aspecto oficial que tenga.

Correos de phishing y mensajes de texto

En julio de 2020, se vulneró la base de datos de comercio electrónico y marketing de Ledger, quedando expuestos nombres, direcciones de correo y, en muchos casos, direcciones postales de unos 272.000 clientes. La filtración solo afectó a datos de contacto: ninguna clave privada, ninguna frase de recuperación, ningún dato de cartera. Lo que vino después fue una campaña de phishing sostenida que usaba esos datos reales de clientes para que los contactos falsos parecieran creíbles: correos con su nombre real, que mencionaban su dirección real y afirmaban que su dispositivo necesitaba una actualización de firmware, que sus cuentas estaban en riesgo o que podía optar a una migración de «Ledger Recover». Todos esos correos llevaban a un sitio web que pedía su frase de recuperación de 24 palabras.

Ledger nunca le pedirá su frase de recuperación por correo, mensaje de texto o formulario en línea. La frase solo se introduce en el propio dispositivo físico, durante la configuración inicial o la restauración. Nunca se escribe en un sitio web, una aplicación o una ventana de chat: ni para una «verificación», ni por «seguridad», ni para soporte. Si alguna comunicación se la pide, es una estafa. Borre el mensaje, no haga clic en el enlace y no responda.

Sitios web falsos y aplicaciones falsas de Ledger Live

Los dominios fraudulentos que imitan a Ledger aparecen en resultados de búsqueda, en espacios publicitarios de pago y en correos de phishing. Los patrones habituales incluyen dominios que añaden guiones o palabras extra, errores ortográficos deliberados y variantes con «support» o «download» del nombre Ledger. Estos sitios pueden imitar el original y ofrecer ayuda para sincronizar, verificar o restaurar la cartera con el fin de obtener secretos o instalar software malicioso.

El único dominio legítimo es ledger.com, y el sitio de soporte oficial es support.ledger.com. Ledger Live solo se descarga desde el sitio web oficial de Ledger o desde las tiendas de aplicaciones oficiales: nunca desde un enlace en un correo, un anuncio de búsqueda, una descripción de YouTube o una ventana emergente. También se han distribuido falsas aplicaciones de «Ledger Live» a través de tiendas Android no oficiales y APK descargadas de terceros, y han aparecido extensiones de navegador maliciosas que suplantan a Ledger en las tiendas de extensiones. Descargue la aplicación únicamente desde la página oficial de Ledger o desde la tienda oficial indicada allí. No confíe en el número de descargas ni en una extensión que se presente como Ledger.

Dispositivos Ledger falsos

El hardware Ledger falsificado ha sido documentado y analizado por investigadores de seguridad. Un dispositivo falsificado o manipulado puede imitar el aspecto y el embalaje originales. La comprobación criptográfica verifica el Secure Element, pero no sustituye la revisión de la procedencia ni detecta toda posible modificación física. La variante más peligrosa llega precargada con una frase de recuperación que ya conoce el atacante: cualquier fondo enviado a las direcciones derivadas de esa frase queda inmediatamente a su disposición, incluso antes de que el comprador configure el dispositivo.

Algunos dispositivos falsos indican a los usuarios que introduzcan una frase impresa en una tarjeta de la caja, en lugar de generar una nueva. Un Ledger auténtico siempre genera una frase de 24 palabras nueva y aleatoria durante la configuración inicial y nunca incluye una frase preescrita. Compre solo en ledger.com o en los revendedores autorizados oficialmente listados por Ledger, nunca en mercados de segunda mano. Cuando reciba un dispositivo nuevo, ejecute Genuine Check desde la aplicación oficial de Ledger; el Secure Element responde a un desafío criptográfico que permite comprobar su autenticidad. Los indicios habituales de falsificación son el plástico barato, una pantalla suelta y una caja sin sello de seguridad.

Soporte falso y estafadores de «recuperación»

Los estafadores vigilan activamente Reddit, Telegram, Discord y Twitter/X en busca de usuarios que publican sobre problemas con sus carteras y ofrecen ayuda por mensaje directo. Una oferta no solicitada puede conducir a una petición de su frase de recuperación, a un enlace fraudulento o a software malicioso. El canal de soporte oficial de Ledger es support.ledger.com. No confíe en mensajes directos no solicitados. Inicie siempre el contacto desde support.ledger.com; el soporte no necesita su frase de recuperación.

Una segunda ola, más cruel, ataca a quienes ya han sido estafados. Tras perder fondos en un sitio de phishing o en una cartera falsa, unos «agentes de recuperación» contactan con la víctima asegurando que pueden rastrear y recuperar las criptos robadas, a cambio de un pago por adelantado o un porcentaje. Son estafas de recuperación. Desconfíe de contactos no solicitados, garantías de recuperar fondos robados y pagos exigidos antes de explicar el alcance. Ningún servicio necesita su frase completa ni sus claves privadas por correo, chat o formulario. Si alguien promete recuperar criptomonedas robadas a cambio de un pago anticipado, esa promesa es la estafa.

Si ya dio su frase a un estafador

Actúe de inmediato. La cartera está comprometida en el momento en que otra persona tiene esas 24 palabras: puede regenerar todas las claves privadas y vaciar todas las cuentas, a menudo en cuestión de minutos u horas.

1. Mueva los fondos restantes a una cartera completamente nueva, generada en un dispositivo limpio con una frase de recuperación nueva. Haga esto primero, antes que cualquier otra cosa.
2. Transfiera todos los activos de todas las cuentas derivadas de la frase comprometida, incluidas las cuentas de otras carteras que usaran la misma frase.
3. Solo después de mover los fondos, restablezca el dispositivo comprometido y no vuelva a usar la frase antigua.

No intente «bloquear» la cartera cambiando el PIN o actualizando el firmware: nada de eso protege contra alguien que ya tiene la frase. No envíe la frase comprometida, una foto ni candidatos de contraseña a un servicio. La frase sigue derivando las mismas claves, pero ya no es segura y nunca debe reutilizarse. Si sospecha que algo puede ser una estafa, la guía de señales de alerta le ayuda a comprobarlo antes de actuar.

Qué hace Crypto Recovers

Trabajamos en la recuperación legítima de acceso: personas que todavía poseen sus fondos pero no pueden llegar a ellos por un PIN olvidado, una frase de recuperación parcial o dañada, o una copia de seguridad que no se abre. No trabajamos en casos de robo o fraude: la misma regla que protege a nuestros clientes de los estafadores de «recuperación». Si su situación es pérdida de acceso y no robo, empiece con una evaluación gratuita para recuperar su cartera Ledger.

FAQ: estafas de Ledger

¿Cómo puedo saber si mi Ledger es auténtico?

No confíe en sellos, pegatinas holográficas ni en la apariencia externa. Ejecute Genuine Check desde la aplicación oficial de Ledger; esta usa un desafío criptográfico contra el Secure Element. Un dispositivo auténtico siempre genera una frase de 24 palabras nueva durante la configuración y nunca viene con una preescrita.

¿Ledger pide alguna vez mi frase de recuperación por correo o en un chat de soporte?

Nunca. La frase de recuperación solo se introduce en el propio dispositivo físico. Cualquier correo, chat o sitio web que la pida es una estafa, aunque use su nombre y dirección reales.

He recibido un mensaje diciendo que mi cuenta de Ledger está en riesgo. ¿Qué hago?

No haga clic en ningún enlace. No siga el enlace del mensaje. Abra ledger.com directamente, acceda desde allí al soporte o a la descarga oficial y nunca introduzca la frase en el ordenador, el teléfono, una aplicación o un sitio web.

¿Puede un dispositivo Ledger falso robar mis fondos?

Sí. Los dispositivos falsificados pueden venir precargados con una frase de recuperación conocida por el atacante, por lo que los fondos enviados a las direcciones derivadas pueden vaciarse de inmediato. Compre en Ledger o en un distribuidor autorizado y ejecute Genuine Check desde la aplicación oficial antes de añadir fondos.

Ya envié mi frase de recuperación a un estafador. ¿Qué hago ahora?

Mueva de inmediato todo el saldo restante a una cartera nueva con una frase nueva, generada en un dispositivo limpio. No añada más fondos, no cambie primero el PIN y no vuelva a usar nunca la frase comprometida.