Ledger: 103 millones de dólares de botín rastreados a través de Tornado Cash y Zcash

Seguir la pista. El atacante que vació las billeteras de los clientes de Ledger probablemente pensó que se había mezclado con la multitud. Sin embargo, los investigadores en cadena aún lo siguen, paso a paso. Más de 100 millones de dólares rastreados, 10 millones congelados por Tether. Esto vuelve a poner el debate sobre la responsabilidad de los fabricantes de billeteras de hardware en el centro de la mesa.

Puntos clave de este artículo:

• Aproximadamente 103,4 millones de dólares habrían sido drenados de 530 direcciones y siete blockchains según YFarmX. Tres cuartas partes del botín están en USDT en Tron.
• Tether congeló 10 millones de USDT desde el primer día. El ladrón elude la lista negra convirtiendo su parte en USDD, luego en ether a través de THORChain.
• El botín pasa por Tornado Cash en siete oleadas, luego en el pool blindado de Zcash. YFarmX afirma haber vinculado cada lote saliente gracias al fingerprinting de las transacciones.
• Ledger sostiene que los casos confirmados se refieren a dispositivos vendidos por el revendedor oficial CryptoBilis. Se ha descubierto un implante de hardware no autorizado en uno de ellos.

530 billeteras, siete blockchains y un implante de hardware

De hecho, fue a través de un comunicado publicado el domingo 11 de octubre en X que Ledger actualizó sobre un asunto que le ha ocupado durante varios días. Para recordar, Bitquery cifra el botín en 93,2 millones de dólares robados de 315 billeteras distribuidas en seis blockchains. Por su parte, la plataforma de investigación YFarmX presenta una cifra aún más alta.

En su investigación, actualizada este lunes, contabiliza aproximadamente 103,4 millones de dólares drenados de 530 direcciones y siete blockchains. Así, tres cuartas partes de la cantidad se fueron en USDT en Tron. En la práctica, ambas estimaciones se basan en datos públicos en cadena, y Ledger no ha confirmado ningún total.

Así, Tether ha incluido en la lista negra 37 direcciones relacionadas con el robo desde el 9 de octubre, por 10 millones de USDT que hoy están inmovilizados en las billeteras del ladrón. De hecho, el gigante de los stablecoins tiene un poder que Bitcoin y ether no ofrecen, el de congelar tokens relacionados con la criminalidad. Pero el pirata había previsto la estrategia. Desde la mañana del robo, convirtió su USDT en USDD, el stablecoin de Tron, a través del módulo de estabilidad que no afecta la lista negra de Tether. Luego, se dirigió a THORChain, el intercambio cross-chain, para cambiar todo por ether.

Desde el primer día, el esquema se repite metódicamente, y tiene un nombre: Tornado Cash. YFarmX ha contado siete oleadas de depósitos en Tornado Cash, el mezclador que rompe el vínculo visible entre la billetera que deposita y la que retira. Después de pasar por los pools de 100, 10 y 1 ETH, los fondos luego emergen en nuevas billeteras, dentro de la hora.

Robo de Ledger, día dos. Desde ayer, el ladrón ha pasado ether a través de Tornado Cash tres veces, y cada vez hacia el pool blindado de Zcash. Seguimos cada lote del otro lado. Aquí está cómo, paso a paso.

1. LA MISMA CONSTRUCCIÓN, TRES VECES

Una billetera de ether paga un nuevo... pic.twitter.com/qouguFbPE0
--- YFarmX 🗞️ (@YFarmX) 10 de octubre de 2026

El siguiente paso se juega en los pools blindados de Zcash. El emisor, el monto y el destinatario de cada transacción desaparecen allí. Sin embargo, es precisamente ahí donde YFarmX reclama su hazaña. Concretamente, su herramienta identifica las transacciones de retiro, su construcción, su autor y su marca de tiempo. Resultado anunciado: 108 retiros de 108 vinculados a su lote original << al zatoshi más cercano >>, la unidad más pequeña del ZEC. Una vez que emergen, los fondos alimentan en efecto órdenes de venta de ZEC contra USDC. Estos pagan dos billeteras recién creadas, por 1,79 millones de USDC no gastados en el momento de la investigación. YFarmX interpela a Circle, recordando que el emisor del USDC aún puede congelar esta parte.

<< No es un incidente de CryptoBilis, es un incidente de Ledger >>

El fabricante presenta el asunto como limitado a los dispositivos vendidos por CryptoBilis, un revendedor del sudeste asiático listado como autorizado en su sitio. Una situación que, de hecho, ha evolucionado con el tiempo, ya que el revendedor cambió de propietario antes de los robos. Además, Ledger ha confirmado el descubrimiento de un implante de hardware no autorizado en al menos uno de los dispositivos afectados. Sin embargo, la empresa no dice cómo se devolvieron las máquinas. En X, las críticas llueven.

En la práctica, el debate gira en torno a una pregunta simple: ¿hasta dónde llega la responsabilidad de un fabricante cuando un canal de venta oficial sirve como caballo de Troya? Para recordar, el episodio no tiene nada que ver con la campaña de phishing de abril pasado. Una falsa aplicación de Ledger Live en la App Store había costado entonces 9,5 millones de dólares a usuarios que ingresaron su frase semilla en ese momento. Esta vez, sin embargo, el atacante entró en posesión de las claves mismas. Lo que permitió vaciar cientos de billeteras sin el más mínimo error de sus propietarios.

Según YFarmX, la mayor parte del botín sigue siendo ether en Ethereum, que ningún emisor puede congelar. Luego vienen los bitcoins en dos billeteras colectoras, y luego el USDT congelado por Tether. Circle, Binance, HitBTC y NEAR Intents aún pueden intervenir en direcciones identificadas. Ahora queda por ver si Ledger asumirá la factura, y si estas congelaciones abrirán algún día el camino a restituciones concretas.

Este contenido se ofrece únicamente con fines informativos generales y no constituye un asesoramiento financiero, de inversión, legal ni fiscal. Cualquier evento, recompensa, promoción en línea o información relacionada que se mencione en el presente documento no debe considerarse como una recomendación, solicitud o invitación a comprar, vender, operar o de negociar de otra manera con cualquier criptoactivo. Los criptoactivos son sumamente volátiles y pueden provocar pérdidas. La disponibilidad de los servicios, productos y eventos relacionados de WEEX puede variar según la región. Tienes la responsabilidad de asegurarte de que tu participación esté de acuerdo con las leyes y regulaciones locales vigentes.