Qué es un ataque a la cadena de suministro y por qué MediaMarkt retiró los Ledger

15 de octubre de 2026

Abres la caja, enciendes la cartera y apuntas en la hoja de papel las 24 palabras que te va enseñando la pantalla, como pide el manual. Ese paso es el que hace segura una cartera de hardware para criptomonedas (un aparato que guarda las claves fuera del ordenador y del móvil), porque las palabras nunca salen de ella. En las carteras Ledger manipuladas que vendía CryptoBilis, un revendedor del sudeste asiático, era el momento en que se perdían los fondos. Un chip escondido dentro leía las palabras en la pantalla y las enviaba por la red móvil con su propia eSIM, según el equipo de seguridad de Ledger.

Eso es un ataque a la cadena de suministro. En lugar de atacarte a ti, alguien manipula algo de lo que te fías antes de que llegue a tus manos, ya sea un aparato entre la fábrica y la tienda, una actualización o una pieza de software que usan miles de programas. En Europa, el caso ha salpicado a MediaMarkt, aunque Ledger no ha confirmado que ninguna cartera vendida allí estuviera manipulada. El grupo MediaMarktSaturn retiró los Ledger de sus tiendas y de su web el martes 13 de octubre de 2026, como precaución, tras el aviso de un cliente en Alemania. Al día siguiente, Ledger dijo que había inspeccionado carteras del stock de tiendas y distribuidores de toda Alemania y que ninguna mostraba señales de manipulación, aunque todavía no ha examinado las del cliente. En España no consta ningún caso.

Qué es un ataque a la cadena de suministro

En informática, la cadena de suministro es todo lo que hay entre un fabricante y quien usa su producto, desde los proveedores de componentes y de software hasta los distribuidores y las tiendas. El INCIBE (Instituto Nacional de Ciberseguridad) distingue en una guía para empresas cuatro formas de atacarla. Se puede comprometer el software o las herramientas con las que se fabrica, meter componentes maliciosos o puertas traseras en el hardware, preinstalar malware en los aparatos que llegan al cliente o robar certificados para firmar programas modificados y que parezcan legítimos.

Para quien ataca, la ventaja está en la escala y en la confianza. Si consigue colarse en un proveedor, llega de golpe a todos sus clientes, y la víctima no tiene que equivocarse en nada, porque el aparato o la actualización vienen de alguien de fiar. Pasó con los móviles Android baratos que traían malware de fábrica, y pasa con las carteras de Ledger, aunque aquí la trampa iba en una pieza añadida dentro de la carcasa.

Cómo funcionaba el chip de las carteras Ledger

Ledger avisó el viernes 9 de octubre de que investigaba robos a clientes del sudeste asiático que habían comprado sus carteras en CryptoBilis, y le pidió que dejara de venderlas. CryptoBilis no era una tienda cualquiera. Figura en la lista oficial de revendedores autorizados de Ledger en Indonesia, hoy con las ventas «temporalmente pausadas». El sábado 10, la empresa confirmó que la cartera de uno de los afectados llevaba un implante de hardware que no era suyo. Ledger no ha dicho dónde ni cuándo se manipularon las carteras, y la propia CryptoBilis ha confirmado que paró sus ventas como medida de precaución.

El martes 13, Donjon, el equipo de seguridad de Ledger, explicó cómo funciona. El implante va dentro de la carcasa y lee lo que muestra la pantalla. Cuando reconoce las pantallas de configuración, que son las que enseñan las 24 palabras de recuperación, un microcontrolador las descifra y las envía por LTE (la red 4G) mediante una eSIM ya activada. Es una pieza aparte. No toca el chip seguro de la cartera (el Secure Element) ni el sistema de Ledger, y tampoco altera las transacciones.

¿Cómo pasó entonces la comprobación de autenticidad? Ledger tiene una, el Genuine Check, que confirma con criptografía que el chip seguro es original, y en estas carteras lo era. La propia empresa avisa en su guía para comprar con seguridad de que esa prueba no detecta todas las modificaciones físicas, y BleepingComputer recuerda que no ve un implante añadido mientras el chip seguro siga intacto. Ledger sigue pidiendo pasar esa comprobación al configurar la cartera, aunque no basta.

Los investigadores lo vieron antes que la empresa. Mark Karpelès, que dirigió la plataforma Mt. Gox, y el estudio Tibane Labs enseñaron el implante en carteras Nano X, y BleepingComputer cuenta que algunos lo mostraban desde el 16 de septiembre en aparatos que se vendían casi a mitad de precio. Tibane describió dos versiones. La primera cambiaba la batería por otra más pequeña para hacerse sitio, y la segunda, más elaborada, cabía en el hueco de la espuma que hay bajo la pantalla. En las dos, lo que la delataba era el cable de la antena. Tibane compró una de sus muestras en Amazon Japón, a un vendedor con sede en China que enviaba desde Malasia, y otra en un servicio de compraventa de Yahoo! en Japón.

Ledger no ha confirmado cuánto dinero se ha robado ni a cuántas personas, y avisa de que las cifras que circulan vienen de terceros y no están del todo verificadas. Los analistas de blockchain calculan posibles robos de unos 72 millones de dólares (tanuki42), más de 86 (Specter) o hasta unos 93 en más de 300 carteras, según The Block y CoinDesk, y ninguno de esos cálculos lo ha verificado Ledger. El miércoles 14, BleepingComputer contó que Ledger había pedido a todos sus vendedores y distribuidores de Indonesia, Singapur, Tailandia, Filipinas, Vietnam, Malasia y Hong Kong que dejaran de vender sus carteras hasta acabar la investigación.

Qué ha pasado con MediaMarkt y qué se sabe en España

La parte europea empezó con un comprador. El lunes 12 de octubre, un usuario de X que firma como Johannes contó que había comprado una segunda cartera Ledger en otra tienda de MediaMarkt y que, como la primera, traía cables de más y un módulo LTE. La primera la compró en agosto en un MediaMarkt de Alemania, según le dijo a la periodista Kim Zetter. Añadía que, según los registros de la tienda, el género venía de un distribuidor, y que había mandado una cartera a Karpelès y la otra a Ledger para que las analizaran. Ledger no ha publicado todavía ningún análisis de esas dos carteras.

MediaMarktSaturn reaccionó el martes 13. Un portavoz dijo a Cointelegraph que habían retirado los productos de Ledger de su oferta internacionalmente, en todos sus países, como medida de precaución, y Ledger confirmó que la venta en tiendas y en la web se paraba de acuerdo con ella, tras el aviso de un cliente en Alemania y sin pérdidas de dinero. El miércoles 14 por la tarde, Donjon añadió que había revisado carteras del stock de tiendas y distribuidores de toda Alemania, incluidas las de las tiendas señaladas, y que ninguna mostraba señales de manipulación. Todavía no había podido examinar las que salen en las fotos, e invitaba a su dueño a enviárselas.

Karpelès mantiene además una lista pública de casos publicados en X, con sus fotos. El jueves 15 tenía 15 entradas de nueve vendedores de Asia, Europa y Rusia, según Crypto Times. Dos son falsificaciones y no implantes, y una, comprada en un MediaMarkt de Trier (Alemania), está pendiente de examen, aunque según la propia lista las fotos de su dueño no mostraban nada raro. Ledger no ha verificado la lista.

¿Qué pasa en España? MediaMarkt es uno de los dos revendedores autorizados que la lista de Ledger da para España, junto con Amazon. No hemos encontrado ningún comunicado de MediaMarkt España ni ningún caso en España, y Ledger aseguró el miércoles que nadie ha denunciado en Europa pérdidas por estos implantes. A mediodía del jueves 15, el buscador de mediamarkt.es no devolvía ninguna cartera de Ledger.

SolarWinds y XZ Utils, la misma idea con software

Algunos de los casos más conocidos de este tipo de ataque son de software. En diciembre de 2020, la empresa estadounidense SolarWinds comunicó a la SEC, el regulador bursátil de su país, que alguien había metido código malicioso en las actualizaciones de su programa Orion publicadas entre marzo y junio de ese año. El código se coló en el sistema con el que la empresa compilaba el programa, y SolarWinds dijo que, según le habían informado, era probablemente obra de un Estado extranjero. En aquel primer aviso calculó que menos de 18.000 clientes podían haberlo instalado. En mayo de 2021 precisó que los que llegaron a ser atacados fueron menos de 100.

XZ Utils es una biblioteca de compresión de código abierto que va en muchas distribuciones de Linux. El 29 de marzo de 2024, el desarrollador Andres Freund avisó de que sus versiones 5.6.0 y 5.6.1 traían una puerta trasera. Dio con ella porque los inicios de sesión por SSH en su equipo gastaban mucho procesador y tardaban medio segundo más de lo normal, y, por la actividad de varias semanas, sospechó que quien había subido esos cambios estaba implicado o que le habían comprometido el equipo. La CISA, la agencia de ciberseguridad de Estados Unidos, avisó ese mismo día de que podía permitir el acceso no autorizado a los sistemas afectados. Llegó a versiones de prueba como Fedora Rawhide o Debian unstable, pero no a Red Hat Enterprise Linux, como explicó Red Hat.

Caso	Qué se manipuló	En qué punto de la cadena	Cómo salió a la luz	Alcance
Carteras Ledger (2026)	Un chip añadido dentro de la carcasa	Sin determinar; Ledger dice que las pérdidas confirmadas son de carteras de un revendedor autorizado	Robos a usuarios y fotos de investigadores que abrieron las carteras	Sin cifra oficial; los analistas calculan entre 72 y 93 millones de dólares en posibles robos, sin verificar por Ledger
SolarWinds Orion (2020)	Las actualizaciones del programa	El sistema con el que la empresa compilaba el programa	Aviso de la propia empresa al regulador, el 14 de diciembre de 2020	Menos de 18.000 clientes pudieron instalarlo; menos de 100 fueron atacados
XZ Utils (2024)	Las versiones 5.6.0 y 5.6.1 de una biblioteca de compresión	El propio proyecto, en sus paquetes de descarga	Un desarrollador notó que SSH tardaba medio segundo más	Versiones de prueba de Linux; Red Hat Enterprise Linux no se vio afectado

Tres ataques a la cadena de suministro. Fuentes: Ledger, The Block, CoinDesk, SolarWinds (SEC), Andres Freund, CISA y Red Hat.

Por qué comprar en la web del fabricante

Lo primero que se suele pensar es que basta con comprar en una tienda grande y conocida. Este caso lo complica, porque CryptoBilis era un revendedor autorizado, y MediaMarkt también lo es. Ledger sostiene que todas las pérdidas confirmadas vienen de carteras vendidas por CryptoBilis y que su canal de venta directa no se ha visto afectado. Karpelès y algunos compradores han enseñado otras carteras abiertas con piezas parecidas, compradas en un aeropuerto de Singapur y en una tienda online rusa, pero Ledger no ha confirmado esos casos ni los ha relacionado con CryptoBilis. Cada intermediario por el que pasa una caja es una oportunidad más de abrirla y volver a cerrarla, y la tienda del propio fabricante es la que menos eslabones tiene.

Kaspersky llegó a la misma conclusión en 2023, cuando analizó una cartera Trezor falsa, con el microcontrolador cambiado, que su dueño había comprado en una web de anuncios, y recomendó comprar directamente al fabricante. Trezor, la otra gran marca de estas carteras, anunció esta semana que reduce su red de revendedores, y los que deje fuera perderán la autorización el 1 de enero de 2027, según BleepingComputer. Ledger, por su parte, ha recordado a sus revendedores que solo compren por canales autorizados y que nunca vuelvan a vender carteras devueltas, y desaconseja comprar a vendedores que no estén en su lista.

Si compras en una tienda, Ledger pide que sea una de su lista y, en Amazon, que mires que la vende la tienda oficial de Ledger o un revendedor autorizado. Al recibirla, su guía pide no usarla si la caja parece abierta o manipulada. Una cartera auténtica nunca llega con un PIN ni con una frase de recuperación ya puestos, y si trae unas palabras escritas en una tarjeta o en las instrucciones, no hay que usarlas. Las 24 palabras se generan en la propia cartera al configurarla, y solo deben quedar en tu copia.

Qué hacer si ya tienes una cartera Ledger

Si la compraste en CryptoBilis y aún no la has configurado, no lo hagas y escribe al soporte de Ledger. Si ya la configuraste, Ledger pide pasar cuanto antes lo que tengas a otra cartera, con una frase de recuperación nueva creada en ella, y no introducir ni restaurar ninguna frase en la cartera de CryptoBilis.
Si la compraste en otra tienda, como MediaMarkt, y tienes dudas, pregunta al soporte. Ledger solo ha pedido mover los fondos a quienes compraron en CryptoBilis y dice que no ha verificado ningún robo con una cartera comprada en otro sitio. Tiene además una guía para abrir la cartera y mirar dentro, pero avisa de que abrirla puede estropearla y de que antes debes tener a salvo la copia de tus 24 palabras.
Si notas algo raro o has perdido dinero, no envíes la cartera a nadie antes de hablar con el soporte de Ledger o con la policía, y denuncia ante la Policía Nacional o la Guardia Civil. Si has perdido dinero, Ledger pide no abrirla sin hablarlo antes con la policía. Para orientarte, el 017 del INCIBE atiende gratis.
Desconfía de quien te escriba por este caso. Ledger repite que nunca llama, nunca escribe por mensaje directo y nunca pide las 24 palabras, y que los estafadores se aprovechan de sustos como este. Las palabras no se escriben en ninguna web, app ni formulario, ni se guardan en Notas o en una foto del móvil, que es lo que se lleva un kit de espionaje como DarkSword, el de los iPhone sin actualizar.
La app Ledger Wallet se descarga solo desde la web oficial de Ledger o desde las tiendas oficiales de aplicaciones, nunca desde un anuncio, que fue la trampa de la descarga falsa de Claude para Mac.

Las 24 palabras de la hoja de papel siguen siendo lo que protege una cartera de hardware, y por eso el implante iba a por ellas cuando la pantalla las enseñaba al configurarla. Falta saber si el problema se ha extendido más allá del sudeste asiático. Ledger no ha encontrado nada en las carteras del stock alemán que inspeccionó, y las que Johannes dice haber comprado en MediaMarkt, una enviada a Karpelès y otra a Ledger, siguen sin análisis publicado.

Comparte este artículo