¿Wallet Ledger pirateada? Cómo sucede y qué hacer

Han desaparecido fondos, o ha leído sobre un «hackeo de Ledger» y no sabe qué significa para usted. Ambos casos empiezan en el mismo punto: separar los incidentes documentados de Ledger de las formas en que las hardware wallets se ven realmente comprometidas, porque eso determina qué debe hacer a continuación.

¿Puede piratearse una hardware wallet Ledger?

No de forma remota, y no como la mayoría imagina. Un dispositivo Ledger almacena las claves privadas en un chip Secure Element: un componente resistente a manipulaciones, con certificación Common Criteria EAL5+ o EAL6+ según el modelo, diseñado para no exponer los datos de las claves ni siquiera ante un ataque físico directo. No existe ningún caso documentado públicamente de alguien que haya extraído de forma remota claves privadas de un dispositivo Ledger y sustraído fondos directamente a través del hardware. Los casos documentados detrás de un Ledger «pirateado» tienen que ver con otra cosa: una página de phishing, una frase de recuperación expuesta o una solicitud de aprobación maliciosa. Esta distinción importa porque señala dónde estaba la verdadera debilidad.

En qué consistieron realmente los incidentes de seguridad de la propia Ledger

En julio de 2020, la base de datos de comercio electrónico y marketing de Ledger fue vulnerada mediante la explotación de una clave API. Según el comunicado de la propia Ledger, unos 272.000 clientes vieron expuestos sus nombres, direcciones postales y números de teléfono, y en total se filtraron alrededor de un millón de direcciones de correo electrónico. La filtración no afectó a claves privadas, frases de recuperación, datos de wallet ni fondos. La brecha estaba en los servidores de la empresa, no en el nivel del dispositivo.

Lo que siguió fue una campaña de phishing sostenida y bien financiada que usaba esos datos filtrados. Correos dirigidos con nombres reales de clientes, sitios web falsos de Ledger muy convincentes y contactos de soporte suplantados estaban diseñados para obtener las frases de recuperación de usuarios de Ledger que creían que el contacto era legítimo. Las pérdidas posteriores las sufrieron personas que introdujeron sus 24 palabras en esas trampas, y no se debieron a ninguna vulneración del propio hardware: el comunicado de Ledger señala que los fondos siguen a salvo mientras las 24 palabras no se hayan compartido nunca.

En diciembre de 2023, el Connect Kit de Ledger —una biblioteca JavaScript que muchas aplicaciones DeFi usan para conectarse a hardware wallets— se vio comprometido mediante un ataque a la cadena de suministro dirigido a las credenciales de acceso de una persona que había trabajado para Ledger. El código malicioso inyectado incitaba a los usuarios a aprobar transacciones fraudulentas a través de sus wallets. Fue un ataque a la capa de software que afectaba a la interfaz del navegador, no al modelo de seguridad del dispositivo Ledger. Quienes aprobaron las solicitudes perdieron fondos; quienes no lo hicieron no se vieron afectados. El informe del incidente de Ledger cifra en menos de dos horas el periodo durante el que se sustrajeron fondos de forma activa.

En enero de 2026, Global-e, la empresa que procesa los pedidos de Ledger.com, comunicó un acceso no autorizado a los datos de pedidos que gestiona. Según el aviso de Ledger, los registros expuestos contenían nombres, direcciones postales y de correo electrónico, números de teléfono y detalles de los pedidos; los sistemas de la propia Ledger, los dispositivos y las frases de recuperación no se vieron afectados. Al igual que la filtración de 2020, este incidente pone en manos de los estafadores nombres y direcciones reales para sus campañas de phishing.

Cómo se comprometen realmente las wallets Ledger

Phishing y aplicaciones falsas

El phishing es la primera causa que hay que descartar. Correos falsos, páginas falsas de descarga de Ledger Wallet (antes Ledger Live) y cuentas falsas de soporte en Reddit y Telegram le piden su frase de recuperación de 24 palabras con el pretexto de una actualización de firmware, una verificación de cuenta o una alerta de seguridad. Quien tiene esas 24 palabras tiene la wallet: con ellas puede regenerar todas las claves privadas y vaciar todas las cuentas, normalmente en cuestión de minutos. La propia Ledger afirma que nunca le pedirá sus 24 palabras. Nuestra guía sobre dispositivos Ledger falsos y estafas de Ledger explica cómo funciona cada tipo de ataque de phishing y cuáles son las señales de alerta.

Dispositivos falsificados

El hardware falsificado es un riesgo menos común, pero documentado. Dispositivos manipulados, idénticos por fuera a un Ledger auténtico, pueden llegar con una frase de recuperación precargada que el atacante ya conoce: cualquier moneda que se envíe a esa wallet queda de inmediato al alcance de este. Algunos dispositivos falsos indican a los usuarios que utilicen una frase impresa en una tarjeta incluida en la caja, en lugar de generar una nueva. Un Ledger auténtico siempre genera una frase nueva y aleatoria durante la configuración inicial. Compre solo en ledger.com o a un revendedor autorizado que figure en la lista oficial, y ejecute el Genuine Check (la comprobación de autenticidad) en Ledger Wallet antes de añadir fondos. Ledger indica además que cualquier paquete, carta o dispositivo «de sustitución» inesperado debe tratarse como una estafa: la empresa nunca envía objetos físicos ni pide escanear códigos QR.

Exposición de la frase de recuperación

La exposición de la frase de recuperación abarca cualquier situación en la que sus 24 palabras hayan quedado a la vista de otra persona: una foto en un teléfono que más tarde se vio comprometido, palabras escritas en un dispositivo conectado, una copia de seguridad guardada en el correo electrónico o en la nube, o una frase introducida en un sitio web falso. No hace falta que la frase se robe en el momento. Puede encontrarse y usarse meses o años después. Aquí se explica cómo guardar una frase de recuperación de forma segura a partir de ahora.

Aprobaciones maliciosas de transacciones

El incidente del Connect Kit de diciembre de 2023 mostró una cuarta vía: un atacante sin acceso a las claves puede vaciar igualmente la wallet si consigue que usted apruebe una transacción fraudulenta. Las dApps maliciosas, las solicitudes de aprobación falsas y las bibliotecas de conexión de wallets comprometidas pueden presentar transacciones de aspecto plausible que vacían una cuenta al firmarlas. El dispositivo sigue siendo seguro; la aprobación es la superficie de ataque. Verifique cada firma en la pantalla del propio dispositivo, no en la ventana del navegador, y nunca firme una transacción que no reconozca por completo. Por eso Ledger recomienda usar la Firma Visible (Clear Signing) siempre que sea posible, además de la función de Verificación de transacciones (Transaction Check).

Si han desaparecido fondos: qué hacer ahora mismo

No añada más fondos a la wallet comprometida: todo lo que envíe puede sustraerse tan rápido como el saldo anterior, porque quien tiene la frase de recuperación controla todas las direcciones que se derivan de ella. Si otras wallets comparten la misma frase de recuperación, mueva esos fondos de inmediato a una wallet nueva con una frase completamente nueva, antes de hacer cualquier otra cosa.

A continuación, documéntelo todo: hashes de transacción, marcas de tiempo, direcciones de wallet y cualquier correo, URL o mensaje con el que haya interactuado antes de que desaparecieran los fondos. Las autoridades sí investigan el robo de criptomonedas, y es esta documentación la que permite que un caso avance. En EE. UU., denuncie ante el Internet Crime Complaint Center (IC3) del FBI; en otros países, el punto de partida es la unidad local de delitos financieros o de ciberdelincuencia.

¿Pueden recuperarse las criptomonedas robadas?

Las transacciones de blockchain son irreversibles por diseño. Una vez que los fondos salen de una wallet, quedan bajo el control de quien los recibe, y ningún servicio puede revertir la transacción. Lo que sí puede hacer la investigación forense de blockchain es mostrar adónde fueron los fondos: todas las transacciones son visibles públicamente en la blockchain, y las autoridades a veces pueden congelar fondos depositados en un servicio que colabore. Seguir fondos robados en la blockchain no es lo mismo que recuperarlos, y quien promete recuperar fondos robados a cambio de un pago por adelantado está cometiendo una estafa de recuperación: una segunda victimización que se suma a la primera. El propio IC3 afirma que no colabora con bufetes de abogados ni con servicios de criptomonedas para recuperar fondos perdidos y que nunca contacta directamente con las víctimas para pedirles información o dinero.

Crypto Recovers no gestiona casos de robo o fraude. Nos dedicamos a la recuperación técnica del acceso: ayudamos a personas que todavía poseen sus criptomonedas pero ya no pueden acceder a ellas por palabras que faltan en una frase de recuperación, una frase de recuperación no válida o una copia de seguridad dañada. Incluso en esos casos, nunca custodiamos ni manejamos sus criptomonedas. Si un tercero le ha robado los fondos, el camino es el indicado más arriba: documéntelo todo y denúncielo a las autoridades.

Si su problema es la pérdida de acceso y no un robo, recupere el acceso a su wallet Ledger. No podemos reconstruir una frase de recuperación perdida por completo: sin palabras y sin ningún otro material, no hay nada con lo que trabajar. Si su frase está incompleta o contiene una palabra no válida, es posible que podamos ayudarle; trabajamos con hasta cuatro palabras faltantes, y nuestra guía sobre una frase de recuperación de Ledger incompleta explica qué hace posible una búsqueda así.

FAQ: pirateo de Ledger

¿Se ha pirateado alguna vez Ledger?

La base de datos de comercio electrónico de Ledger se vulneró en 2020, lo que expuso datos de contacto de clientes, y una biblioteca de Ledger (Connect Kit) se vio comprometida en 2023. En enero de 2026 se produjo un acceso no autorizado a datos de pedidos en poder del procesador de pagos de Ledger, Global-e. Ningún incidente expuso claves privadas ni frases de recuperación de los propios dispositivos Ledger.

¿Puede piratearse un Ledger de forma remota?

No hay ningún caso documentado públicamente de alguien que haya extraído de forma remota claves privadas de un dispositivo Ledger. Las vulneraciones reales se producen por phishing, frases de recuperación expuestas, dispositivos falsificados o aprobaciones fraudulentas de transacciones, no a través del hardware.

Mi Ledger fue «pirateado»: ¿qué hago primero?

Mueva de inmediato todos los fondos restantes de cada wallet que use esa frase de recuperación a una wallet nueva con una frase nueva. Después, documente los hashes de transacción y las marcas de tiempo, y denuncie el robo ante las autoridades competentes. No añada más fondos a la wallet comprometida.

¿Puede robarse una frase de recuperación de un dispositivo Ledger?

No. El Secure Element no expone la frase, y ningún ataque documentado públicamente la ha extraído del hardware. La frase corre riesgo en papel, en fotos, en la nube y en formularios de phishing, no dentro del dispositivo.