Ledger Nano S Plus vs OneKey Neo

El 9 de octubre de 2026 Ledger empezó a investigar pérdidas de fondos comunicadas por personas que habían comprado dispositivos a CryptoBilis, un revendedor del sudeste asiático, y le pidió que detuviera las ventas y los envíos. El 13 de octubre, el equipo de seguridad Donjon de Ledger describió lo que encontró dentro de un dispositivo afectado: un circuito adicional oculto en la carcasa que leía la frase de recuperación en la pantalla durante la configuración y la enviaba por LTE mediante una eSIM.

Según Ledger, el implante no modificaba el Secure Element, el sistema operativo, las transacciones ni las firmas, y no hay indicios de que los sistemas de Ledger se vieran comprometidos. La documentación de soporte de Ledger indica que Genuine Check no puede detectar un componente añadido si el Secure Element original está intacto. Todas las pérdidas confirmadas corresponden a dispositivos vendidos por CryptoBilis; Ledger afirmó que seguía examinando informes de implantes en dispositivos comprados en otros lugares. MediaMarkt Saturn suspendió la venta de Ledger en Europa después de que un cliente en Alemania informara de una unidad manipulada. Investigadores on-chain estimaron pérdidas superiores a 86 millones de dólares; Ledger no ha verificado esa cifra.

En su comunicado del 15 de octubre, Ledger calificó el incidente de ataque localizado a la distribución, no de ataque sistémico a la cadena de suministro. Pidió a sus revendedores y distribuidores autorizados que suspendieran las ventas en el Sudeste Asiático y Hong Kong, y afirmó que todos los dispositivos que compró y abrió en tiendas para comprobarlos, también en Alemania, estaban limpios. Ledger no ha publicado cuántos dispositivos o usuarios se vieron afectados; según la empresa, los dispositivos devueltos por compradores no podrán revenderse nunca, y publicará más detalles más adelante.

Si vas a comprar o ya tienes un dispositivo Ledger:

• Compra directamente a Ledger o a un revendedor de la lista de distribuidores autorizados de Ledger.
• No configures un dispositivo comprado a CryptoBilis. Si ya lo hiciste, Ledger recomienda mover tus activos a un dispositivo nuevo con una frase de recuperación recién generada.
• Si perdiste fondos, Ledger pide contactar con las fuerzas de seguridad antes de abrir el dispositivo.

El incidente afecta a la cadena de distribución, no al diseño del dispositivo, por lo que no cambia nuestras puntuaciones. Actualizaremos este aviso a medida que Ledger publique sus conclusiones.

Después de que Ledger encontrara implantes de hardware en dispositivos Ledger vendidos por el revendedor CryptoBilis, OneKey le retiró la autorización, dejó de aceptar nuevos revendedores y está revisando los existentes. OneKey afirma que ningún usuario ha reportado pérdidas y no informa de ningún dispositivo OneKey manipulado.

Como precaución, OneKey reemplaza gratis cualquier modelo OneKey comprado a CryptoBilis entre el 1 de marzo y el 12 de octubre de 2026, activado o no, con prueba de compra. Se solicita a través del soporte de OneKey hasta el 31 de diciembre de 2026; no hace falta devolver el dispositivo antiguo.

Recomendación de OneKey: no actives un dispositivo de CryptoBilis sin usar. Si un dispositivo de CryptoBilis ya tiene fondos, muévelos ahora a una billetera con una frase de recuperación recién generada, sin esperar al reemplazo.

Afecta a un revendedor, no al diseño del dispositivo, por lo que no cambia nuestras puntuaciones.