El ciberataque relacionado con CryptoBilis ha provocado pérdidas estimadas en 95,35 millones de dólares, mientras que otros 10 millones de dólares en USDT fueron congelados. La información disponible indica que el incidente no consistió necesariamente en un ataque directo contra los servidores de un exchange, sino en una operación vinculada a dispositivos de hardware distribuidos por CryptoBilis, un revendedor autorizado de carteras Ledger.
El caso ha puesto de relieve una cuestión fundamental para cualquier usuario de criptomonedas: la seguridad de los activos no depende únicamente de la cadena de bloques o del dispositivo utilizado para almacenarlos. También intervienen la cadena de suministro, los distribuidores, el proceso de fabricación, la configuración inicial y la forma en que el propietario conserva sus claves.
Qué ocurrió y cuánto dinero fue sustraído
Los investigadores de cadenas de bloques atribuyen al incidente el vaciado de fondos desde cientos de carteras asociadas con dispositivos adquiridos a través de CryptoBilis. Un análisis citado por empresas de inteligencia de cadenas de bloques calculó que el robo alcanzó 95,35 millones de dólares procedentes de 1.486 direcciones entre el 7 y el 9 de octubre.
La mayor parte de la actividad se concentró en un periodo de aproximadamente 51 minutos el 9 de octubre. Esta concentración temporal sugiere que los atacantes habían preparado previamente la operación y esperaron a disponer de información suficiente para ejecutar transferencias coordinadas.
Las cifras deben interpretarse con cautela. Diferentes empresas de análisis han publicado estimaciones distintas, debido a que utilizan criterios no idénticos. Algunas cuentan direcciones individuales; otras agrupan varias direcciones como una sola cartera afectada. También existen diferencias derivadas del precio de los activos en el momento de calcular las pérdidas y de las redes incluidas en el análisis.
Otros informes situaron el daño entre 93,2 y 94,5 millones de dólares, mientras que una estimación posterior elevó el total hasta aproximadamente 102 millones de dólares en varias cadenas de bloques. Estas cantidades no necesariamente se contradicen: pueden representar distintos momentos de medición, grupos de víctimas o métodos para valorar los activos.
Por ese motivo, la cifra de 95,35 millones debe entenderse como una estimación de los fondos identificados públicamente, no como un balance definitivo confirmado por todas las partes. El importe final podría cambiar a medida que se descubran nuevas direcciones, se reevalúen los movimientos o se separen operaciones legítimas de transferencias relacionadas con el atacante.
Los activos robados incluyeron principalmente USDT, ether y otros tokens distribuidos en varias redes. La existencia de movimientos en diferentes cadenas complica el seguimiento, aunque también deja una huella pública que puede ser examinada mediante herramientas de análisis en cadena.
La posible vulneración de dispositivos de hardware
Las carteras de hardware están diseñadas para mantener las claves privadas aisladas de internet. En condiciones normales, una transferencia requiere que el usuario conecte el dispositivo, revise los detalles de la operación y la autorice mediante sus controles físicos.
Sin embargo, esa protección depende de que el dispositivo sea auténtico, no haya sido manipulado y genere correctamente la frase de recuperación. Esta frase, también conocida como frase semilla, permite restaurar una cartera y controlar sus fondos. Cualquier persona que la conozca puede, en la práctica, mover los activos asociados.
En el caso investigado, Ledger informó de la presencia de un componente de hardware no autorizado en al menos uno de los dispositivos afectados. Los investigadores describieron el problema como un ataque a la cadena de distribución: los equipos habrían sido alterados antes de llegar a sus compradores.
La hipótesis más grave es que ciertos dispositivos manipulados podían exponer o permitir la obtención de las frases de recuperación generadas durante la configuración. Si un atacante obtiene esa información, no necesita robar físicamente el dispositivo ni conocer el código de desbloqueo local. Puede importar la cartera en otro equipo y transferir los fondos desde internet.
Este escenario es especialmente peligroso porque el usuario puede seguir teniendo el dispositivo en su poder y verlo funcionar aparentemente con normalidad. Una cartera puede mostrar saldos correctos, firmar operaciones y conectarse a aplicaciones descentralizadas, pero aun así estar comprometida si la frase de recuperación fue copiada durante el proceso inicial.
Los informes disponibles también señalan que Ledger examinó si existían dispositivos con componentes similares adquiridos fuera de CryptoBilis. Esa posibilidad amplía el alcance de la investigación, aunque no demuestra por sí sola que todos los distribuidores o todos los dispositivos de la marca estén afectados.
Es importante distinguir entre un fallo del protocolo de una cadena de bloques y una vulneración del entorno que utiliza el usuario. Las redes como Ethereum o Tron pueden haber procesado las transacciones de forma normal. El problema estaría en que un tercero obtuvo la autorización criptográfica necesaria para ordenar las transferencias.
Cómo se congelaron 10 millones de dólares
Una parte del dinero sustraído, aproximadamente 10 millones de dólares en USDT, fue congelada por Tether en la red Tron. Según los análisis publicados, una dirección vinculada al atacante mantenía alrededor de 10.000.010 USDT bloqueados tras la intervención.
La congelación fue posible porque USDT es una moneda estable emitida por una entidad centralizada. Aunque sus transferencias quedan registradas en la cadena de bloques, el emisor puede incluir determinadas direcciones en una lista de bloqueo e impedir que los tokens se transfieran o canjeen normalmente.
Este mecanismo no se aplica de la misma manera a bitcoin, ether y otros activos nativos de redes descentralizadas. En esos casos, no existe una empresa emisora con una función equivalente que pueda detener unilateralmente los fondos. Una transacción confirmada suele ser irreversible, salvo que el receptor decida devolver voluntariamente los activos.
El congelamiento no equivale a una recuperación inmediata. Los tokens bloqueados permanecen identificados en la cadena, pero todavía pueden requerirse procedimientos legales, cooperación entre empresas, órdenes judiciales y coordinación con las autoridades para determinar su destino final.
Además, la existencia de fondos congelados no significa que todo el dinero restante pueda recuperarse. Los atacantes pueden intentar convertir los activos, dividirlos entre múltiples direcciones, enviarlos a otras cadenas o depositarlos en servicios que dificulten el análisis de su origen.
Los investigadores informaron de que las direcciones relacionadas con el ataque aún mantenían alrededor de 30,44 millones de dólares en activos identificados, incluida la cantidad congelada. Esa cifra tampoco debe interpretarse como una reserva disponible para las víctimas, ya que parte de los fondos pudo haberse movido posteriormente y los saldos en cadena cambian constantemente.
En días posteriores, el atacante continuó desplazando fondos. Un seguimiento atribuyó movimientos por 13,84 millones de dólares durante un periodo de 48 horas. También se informó del depósito de 1.200 ether, valorados entonces en unos 2,78 millones de dólares, en Tornado Cash.
Estos movimientos tienen dos objetivos posibles: dificultar el rastreo del dinero y preparar su conversión en otros activos o monedas tradicionales. El uso de mezcladores no elimina necesariamente el rastro, pero puede complicar la vinculación entre las direcciones iniciales y los receptores posteriores.
Qué significa para los usuarios de criptomonedas
El incidente demuestra que una cartera de hardware no es una garantía absoluta. Reduce ciertos riesgos, como el robo de claves mediante programas maliciosos instalados en un ordenador, pero introduce otros riesgos relacionados con la fabricación, la distribución y la configuración.
Para los usuarios básicos e intermedios, la primera regla es comprar los dispositivos únicamente a través de canales oficiales o distribuidores cuya autenticidad pueda verificarse directamente con el fabricante. Un precio atractivo en un mercado secundario puede ocultar un equipo usado, alterado, sustituido o acompañado de instrucciones peligrosas.
Nunca debe aceptarse una frase de recuperación que venga escrita, impresa o grabada dentro del embalaje. La frase debe generarse durante la configuración inicial del dispositivo y debe anotarse manualmente en un soporte seguro. Si el equipo ya contiene una frase, existe un riesgo evidente de que otra persona la conozca.
Tampoco debe introducirse la frase de recuperación en una página web, aplicación móvil, formulario de soporte o programa informático. Los fabricantes y los servicios legítimos no necesitan que el usuario entregue sus palabras secretas para comprobar una cartera, solucionar un error o desbloquear fondos.
La verificación de una dirección debe hacerse en la pantalla del propio dispositivo, no únicamente en la pantalla del ordenador o del teléfono. Un programa malicioso puede sustituir una dirección copiada en el portapapeles, mientras que el dispositivo debería mostrar los datos que realmente se van a firmar.
Los usuarios con cantidades importantes pueden considerar una configuración de cartera multifirma, en la que se necesitan varias claves para autorizar una operación. Por ejemplo, una configuración de dos de tres permite aprobar una transacción con dos claves de un conjunto de tres. Esta estructura reduce el impacto de perder o comprometer una sola clave, aunque requiere más conocimientos y una planificación cuidadosa.
También es recomendable separar los fondos. La cartera utilizada para operaciones cotidianas no debería contener todos los ahorros. Una cuenta de uso frecuente puede mantener una cantidad limitada, mientras que las reservas principales permanecen en una configuración más protegida y con menos exposición a aplicaciones, contratos y sitios web.
Las copias de seguridad deben guardarse en lugares físicamente seguros y nunca en fotografías, servicios de almacenamiento en la nube, correos electrónicos o aplicaciones de notas. Quien consiga acceder a una copia digital puede obtener control sobre los fondos sin necesidad de tocar el dispositivo original.
La protección física también importa. Una frase de recuperación escrita en papel puede deteriorarse por humedad, fuego o desgaste. Algunas personas utilizan placas metálicas diseñadas para resistir condiciones adversas. La solución debe impedir tanto la pérdida accidental como el acceso no autorizado.
Si un usuario sospecha que su dispositivo pudo haber sido manipulado, debe actuar con rapidez, pero sin divulgar públicamente la frase de recuperación. Lo prioritario es crear una cartera nueva en un dispositivo confiable, generar una frase completamente nueva y transferir los activos restantes. La operación debe realizarse desde un entorno seguro y verificando cuidadosamente las direcciones.
La reutilización de una frase de recuperación es otro riesgo. Si una frase se utilizó en un dispositivo sospechoso, una cartera de software, una extensión de navegador o una aplicación de finanzas descentralizadas, debe considerarse comprometida en todos esos entornos.
Las víctimas también deberían conservar capturas de pantalla, identificadores de transacción, direcciones, comprobantes de compra y comunicaciones con el distribuidor o fabricante. Estos elementos pueden ser útiles para las autoridades, las empresas de análisis y cualquier procedimiento de reclamación o investigación.
La transparencia es esencial durante una crisis de este tipo. Las estimaciones en cadena pueden cambiar y no siempre identifican a cada víctima. Por ello, los afectados deben desconfiar de personas que prometan recuperar fondos a cambio de un pago anticipado o soliciten la frase de recuperación para iniciar una supuesta investigación.
El caso CryptoBilis también recuerda que la seguridad debe considerarse como un proceso completo. No basta con elegir una marca reconocida. Es necesario verificar el origen del dispositivo, generar la frase de recuperación correctamente, revisar las transacciones, limitar las autorizaciones de contratos y mantener procedimientos de respaldo.
Las autoridades continúan investigando el incidente y el destino de los fondos. Mientras se aclara el alcance definitivo, las cifras públicas deben tratarse como estimaciones sujetas a revisión. El elemento confirmado por los análisis disponibles es la magnitud excepcional del robo, la congelación de aproximadamente 10 millones de dólares en USDT y la existencia de movimientos posteriores destinados a dificultar la recuperación.
Para el sector de las criptomonedas, la lección principal es clara: la descentralización protege la integridad de las redes, pero no elimina los riesgos humanos, comerciales ni tecnológicos que rodean a los usuarios. La seguridad real depende de cada eslabón, desde la fabricación y distribución del dispositivo hasta la custodia de la frase de recuperación y la autorización final de cada transacción.