Este artículo fue recopilado y organizado por BlockWeeks
Esta semana, dos hilos principales —la seguridad cripto y la regulación— se intensificaron simultáneamente: por un lado, la cadena de suministro de la Ledgercartera hardware fue implantada con hardware malicioso, provocando el robo masivo de aproximadamente 91 millones de dólares en activos; por otro lado, la Oficina del Contralor de la Moneda de EE. UU. (OCC) publicó un informe que confirma que el sistema bancario, bajo el nombre de "riesgo reputacional", había practicado la desbancarización de clientes legítimos, proporcionando una corroboración parcial a nivel oficial de las acusaciones de larga data de la industria cripto.
Ataque a la cadena de suministro de Ledger: no descifrar claves privadas, sino leer las frases semilla
Ledger está investigando un robo que involucra aproximadamente 91 millones de dólares. Los usuarios afectados compraron carteras hardware a través del distribuidor del sudeste asiático CryptoBilis, y Ledger ha confirmado que al menos un dispositivo vendido fue implantado con un módulo de hardware capaz de leer la frase semilla en pantalla. CryptoBilis estuvo una vez listado en el sitio web oficial de Ledger como distribuidor autorizado para Indonesia, Malasia y Filipinas.
El 9 de octubre, Ledger pidió al distribuidor que suspendiera todas las ventas y envíos y que notificara a los usuarios que habían comprado dispositivos en los últimos 90 días que no configuraran sus dispositivos; si ya los habían configurado, debían transferir los fondos inmediatamente a un nuevo dispositivo y usar una frase semilla recién generada. Al día siguiente, Ledger confirmó que "el dispositivo de un usuario afectado contenía un implante de hardware no autorizado". Para el martes, Ledger explicó con más detalle cómo funciona: dentro de la carcasa del dispositivo hay un componente independiente que lee la pantalla durante la configuración, captura la frase semilla de 24 palabras y luego la envía al exterior mediante red LTE a través de una eSIM preinstalada. El módulo no toca el Elemento Seguro ni el sistema operativo de Ledger, por lo que los dispositivos manipulados aún pueden pasar la Verificación de Autenticidad (Genuine Check) de Ledger.
Análisis independientes de desmontaje encontraron que el implante ha pasado por al menos tres generaciones, siendo la versión más reciente un circuito flexible fabricado profesionalmente oculto debajo de la pantalla. Ledger declaró que sus propios sistemas y canales de venta directa no fueron comprometidos, que el número de afectados es "limitado" y que todos los casos confirmados hasta ahora involucran dispositivos vendidos a través de CryptoBilis. El distribuidor ha suspendido todas las ventas de hardware.
Flujos de fondos en cadena: 474 direcciones, 88% del valor barrido en una hora
En cadena, esto no parece víctimas dispersas siendo robadas individualmente, sino más bien una cosecha masiva. Las estadísticas muestran que aproximadamente 91 millones de dólares salieron de 474 direcciones de víctimas, abarcando Bitcoin, Ethereum, Arbitrum, Polygon y TRON: alrededor de 64,5 millones de dólares en USDT y TRX provinieron de 146 direcciones de TRON; 213 BTC (unos 17,6 millones de dólares) provinieron de 279 direcciones de Bitcoin; y otros 8,8 millones de dólares en ETH y stablecoins provinieron de 49 direcciones de tipo Ethereum. Si se cuenta BNB Chain, que aún no ha sido incluida en las estadísticas, las firmas de rastreo dan cifras ligeramente superiores de 93 a 95 millones de dólares; los 91 millones de dólares mencionados son el límite inferior.
El barrido de las direcciones de Bitcoin comenzó el 7 de octubre, pero el 88% del valor —unos 80 millones de dólares— fue transferido de manera concentrada en el lapso de una hora a partir de las 05:00 UTC del 9 de octubre, exactamente la mañana del día en que Ledger emitió su primera declaración. Casi todas las direcciones de víctimas de Bitcoin nunca habían gastado antes, perteneciendo a almacenamiento en frío, y la mayoría de los fondos habían sido depositados en los últimos 90 días; algunas direcciones se remontan a 2021, consistente con frases semilla antiguas siendo restauradas en dispositivos manipulados.
Hasta el 15 de octubre, aproximadamente 56,6 millones de dólares permanecen en direcciones controladas por los atacantes: unos 208 BTC permanecen intactos en direcciones de agregación de Bitcoin; alrededor de 12.800 ETH (muchos de los cuales fueron puenteados desde TRON) y 7,5 millones de USDT permanecen en cuentas de tránsito de TRON creadas la mañana del robo. Aproximadamente 5.400 ETH (13,5 millones de dólares) han pasado por Tornado Cash, alrededor de 2 millones de dólares parecen haber llegado a direcciones de depósito de exchanges, y Tether ha congelado 10 millones de dólares en USDT relacionados con este caso. Al menos una víctima se ha dirigido a los ladrones en cadena, declarando que se podría entregar cierta parte si se devuelven los activos restantes.
El verdadero riesgo no está en las curvas elípticas, sino en las cadenas de suministro y en la economía de los ataques de la era de la IA
Un análisis de hace dos semanas señaló que hoy pocas personas atacan directamente las matemáticas de la clave privada; los atacantes atacan en cambio el eslabón que "le dice a las matemáticas qué hacer". El caso del robo al distribuidor de Ledger es una réplica en el mundo físico de esta lógica. El Elemento Seguro hizo su trabajo; la frase semilla simplemente fue leída desde la pantalla por un chip que nunca debió haber existido.
En la era de la IA, la forma en que se exponen las vulnerabilidades de ciberseguridad está cambiando. Investigaciones recientes han debatido si la IA acabará rompiendo ECDSA, pero la amenaza inminente no es un avance matemático. Ninguna de las pérdidas de este trimestre requirió un avance matemático: el fallo de compilación del firmware de Coldcard, la vulnerabilidad de la caché de validación de Liquid, el producto de seguridad de terceros comprometido de Bitget y ahora el circuito flexible y la eSIM. Ninguno de estos incidentes se ha atribuido a herramientas de IA, ni debería atribuirse. Pero la IA está cambiando la economía de todo lo que rodea a las claves privadas.
Los modelos de frontera ya pueden encontrar vulnerabilidades reales en código ampliamente utilizado, y la ventana entre la divulgación de una vulnerabilidad y su explotación se está colapsando. Hacken atribuyó el 77% de las pérdidas del tercer trimestre a herramientas de proveedores y desarrolladores, correcciones divulgadas pero no desplegadas, e infraestructura fuera del alcance de auditoría. Las mismas herramientas también permiten que las operaciones de ataque escalen a bajo costo: un escaparate aparentemente creíble, un "servicio al cliente" receptivo y un backend que archiva cientos de frases semilla y espera a que lleguen los depósitos. Para cualquiera que construya o posea activos en esta industria, esto significa que uno debe asumir que cada dependencia y cada eslabón de la cadena de suministro está siendo sondeado continuamente por adversarios incansables y, antes de que lo hagan los adversarios, aplicar la misma automatización a la revisión del propio código, firmware y proveedores.
El riesgo único de los activos digitales al portador: no se pueden confiscar, ni se pueden recuperar
Así se ven los activos digitales al portador cuando la custodia falla. La propiedad que hace que Bitcoin no se pueda confiscar también hace que no se pueda recuperar. No hay un emisor al que exigir responsabilidades, no hay mecanismo de reembolso y no hay orden judicial que pueda revertir directamente una transferencia en la cadena. La finalidad de los activos es una ventaja cuando están seguros, y se convierte en una pérdida irreversible cuando son robados.
Informe de la OCC: los bancos desbancarizaron bajo el "riesgo reputacional", la industria cripto obtiene una vindicación parcial
La revisión de la OCC confirmó que los bancos se basaron en políticas de "riesgo reputacional" carentes de estándares claros y medibles, y las usaron para cortar servicios debido a las opiniones políticas, religiosas y sociales de los clientes. Los casos incluyen un procesador de pagos retenido por JPMorgan al que se le cerró la cuenta porque un comerciante vendía productos de MAGA, y una línea de negocio de Capital One que rechazó a grupos políticos de ambos partidos. Las restricciones informales a nivel de industria sobre armas de fuego, carbón, perforación en el Ártico, prisiones privadas, tabaco y activos digitales golpearon con más fuerza a las pequeñas y medianas empresas, mientras que los grandes clientes altamente rentables a menudo obtienen excepciones.
La OCC también advirtió que algunos bancos están rebautizando el riesgo reputacional como "riesgo de franquicia" o "riesgo de marca", y que ningún banco ha reconocido públicamente decisiones pasadas de desbancarización. Para la industria cripto, esto es una vindicación parcial: la inclusión de los activos digitales en la lista de restricciones a nivel de industria en la desbancarización bancaria muestra que la exclusión anterior no fue puramente un juicio comercial.
Desde la crisis financiera de 2008, los bancos se han incorporado más profundamente al sistema regulatorio del gobierno de EE. UU. La Ley Dodd-Frank y los mayores requisitos de capital para los bancos globales de importancia sistémica (GSIB) se convirtieron en una forma efectiva para que el gobierno regulara el sistema financiero en general. La relación entre los bancos y los reguladores también ha cambiado en consecuencia: en la narrativa del bando de Elizabeth Warren, los bancos fueron alguna vez el enemigo de "Main Street", pero ahora se los ve como nodos clave para garantizar que se aplique la regulación y se implemente la voluntad del gobierno.
Esta politización no es abstracta en la toma de decisiones internas de los bancos. Una mesa de negociación vivió semanas tensas tras el asalto al Capitolio del 6 de enero, con los jefes de negocio discutiendo si continuar prestando servicios bancarios a Donald Trump, y el tema central era precisamente el riesgo reputacional. El informe de la OCC equivale a un reconocimiento de que tales estándares vagos pueden usarse para filtrar opiniones políticas, religiosas y sociales.
Pero el informe en sí no proporciona automáticamente protección futura. La OCC ha advertido que algunos bancos están cambiando las etiquetas, y ningún banco ha reconocido públicamente decisiones pasadas. Si los reguladores continúan la aplicación, si el Congreso legisla y si los bancos cambian los incentivos determinará si la desbancarización regresa bajo una nueva forma.
Para los participantes del mercado, el incidente de Ledger y el informe de la OCC apuntan juntos a lo mismo: la seguridad y el acceso no son consignas abstractas. Lo primero exige incorporar las cadenas de suministro, el firmware, las herramientas de terceros y el rastreo en cadena al control de riesgos diario; lo segundo recuerda a la industria que la vindicación regulatoria es solo un punto de partida, y que la protección institucional aún debe seguir siendo reivindicada de forma continua.
