Ledger no retiró a CryptoBilis: lo reetiquetó como pausado

Ledger sí borra revendedores de su lista oficial: entre el 12 y el 13 de octubre de 2026 desapareció uno, Geekay, en Emiratos, y la lista pasó de 153 entradas a 152. A CryptoBilis, la tienda del sudeste asiático a la que pidió parar las ventas el 9-oct tras los robos a sus compradores, no la ha borrado: la mantiene publicada con el logotipo, el enlace vivo y el indicador de venta online activo, y el aviso tecleado dentro del campo del nombre, Cryptobilis- Sales temporarily paused. En ese mismo intervalo la anotación de pausa pasó de 2 entradas a 5 y de dos países a tres: entraron la tienda de Shopee en Malasia y las de Lazada y Shopee en Filipinas, de modo que Malasia se queda sin un solo revendedor activo. Lo que falló en este caso no fue el dispositivo ni el código: fue la propiedad del canal, que cambió de manos en marzo de 2026 según el ex-cofundador de la tienda sin que la etiqueta de revendedor autorizado se moviera en siete meses. Este artículo separa lo que ha dicho Ledger de lo que han dicho terceros, mide la serie de dos días en la lista oficial, reparte qué mitigaciones sobreviven a una adquisición del canal y corrige tres artículos nuestros que hoy recomiendan comprar a un distribuidor autorizado como remedio.

¿Qué pasó con CryptoBilis, el revendedor autorizado de Ledger en el sudeste asiático?

CryptoBilis es una tienda de hardware wallets fundada alrededor de 2020 en Malasia, según ABAB News, que se presenta en su propia web como marca de la sociedad CB International y, en su material comercial recogido por Protos, como «el revendedor autorizado de productos Ledger en Malasia». Vendía Ledger, Trezor, OneKey, Tangem y SafePal, entre otras marcas. BitPinas y ABAB News sitúan su cobertura en tres mercados: Malasia, Filipinas e Indonesia.

El 9-oct-2026, Ledger dijo estar investigando pérdidas de fondos de usuarios del sudeste asiático que habían comprado en ese canal, y pidió a CryptoBilis parar todas las ventas y envíos de dispositivos Ledger. El 10-oct confirmó que un dispositivo de un usuario afectado llevaba un implante de hardware no autorizado, y el 11-oct publicó una actualización a las 72 horas. Lo demás que se ha escrito del caso —la cifra robada, de qué está hecho el implante, cuántos dispositivos lo llevan, el cambio de dueño— viene de terceros distintos, y la mayoría de las crónicas lo ha mezclado con la voz de Ledger en un solo relato.

El detalle que hace este caso distinto de los que ya hemos cubierto: no hay código comprometido. El dispositivo que llegó a casa de cada comprador pasó todos los controles que el comprador podía ejecutar: la caja, el sello y la procedencia. Llegó por el canal legítimo, el que aparece en la web del fabricante. Que llevara dentro un implante lo confirmó Ledger el 10-oct; de qué está hecho lo describe Karpelès.

¿Qué ha dicho Ledger con su propia voz y qué han dicho terceros?

Lo que sigue es solo Ledger, con fecha y con el medio que lo recogió.

Ledger no ha dado ninguna cifra: ni importe robado ni número de víctimas. Todo el dinero que circula en los titulares es de terceros, y conviene saber de quién.

La frontera no está donde la ponen la mayoría de las crónicas. Ledger confirmó el implante: lo hizo el 10-oct a las 17:09 UTC y en una sola frase, «one of the impacted users’ devices contained an unauthorized hardware implant». Un dispositivo, de un usuario afectado. Lo que Ledger no ha dicho en ningún momento es de qué está hecho ese implante —el microcontrolador, el módulo LTE, la eSIM y el bus interno son descripción de Karpelès, con sus fotos del 9-oct—, cuántas unidades lo llevan, ni que fuera el implante lo que vació las carteras. Son tres cosas distintas que viajan juntas en los titulares como si las hubiera confirmado el fabricante.

Su única afirmación cuantificable sigue siendo «the volume of impacted devices is limited», del 11-oct a las 17:13 UTC, y sigue sin número. Medida en dispositivos, puede convivir con los cinco importes de terceros, que van de 72 a 93,4 millones de dólares y se miden en dinero y en direcciones. Pero solo convive si «limitado» admite cientos de dispositivos, y eso exige dar por buena una wallet por dispositivo, que es una suposición nuestra. Ledger no ha dado el número, así que hoy no se resuelve.

¿Sigue Ledger listando a CryptoBilis, y qué cambió en la lista entre el 12 y el 13 de octubre de 2026?

Sí sigue listado. Esta es nuestra lectura de la página oficial de revendedores de Ledger, hecha dos veces con 27 horas y 39 minutos de separación. La segunda lectura dice más que la primera, porque entre las dos la página se movió.

La fila de Geekay obliga a afinar el argumento, y en una dirección incómoda. Una lista que solo supiera anotar sería una limitación de la herramienta. Pero Ledger retira entradas: borró una en el mismo intervalo en que anotó tres. No hay ninguna razón pública de la desaparición de Geekay, ni se le atribuye aquí ninguna: puede ser el fin ordinario de un acuerdo comercial, un cambio de operador o cualquier otra cosa. Lo comprobable es lo que las dos lecturas muestran juntas: una entrada se fue de la lista mientras la del canal cuyos compradores han perdido fondos se quedó, con el logotipo y el enlace vivos. Mantener a CryptoBilis publicado es una elección, no una restricción técnica.

Las cinco entradas pausadas del 13-oct conservan los tres mismos elementos: logotipo, enlace a su dominio e indicador de tienda online activa, igual que cualquier revendedor en buen estado de los otros 42 países. Ningún campo de la entrada registra estado, titularidad ni fecha de comprobación. Y la anotación revela cómo está hecha por dentro, porque aparece con tres grafías distintas y una de ellas con falta: Cryptobilis- Sales temporarily paused sin espacio antes del guion; Shopee Mall - Ledger Authorized Reseller Store - Sales temporarily paused con guion separado; y en la entrada filipina de Shopee, -Sales temporarily paused sin espacio tras el guion y con un espacio sobrante al final. Un mismo aviso escrito de tres maneras en la misma página no sale de ningún campo de estado: se teclea a mano dentro del nombre de la tienda, que es el único sitio donde cabe. La estructura de la lista lo confirma: cada entrada tiene nombre, enlace, logotipo y dos indicadores de si vende online o en tienda física, y nada más. No hay campo de estado, de titularidad ni de fecha de comprobación.

La misma página trae otra pieza de prosa escrita a mano, y sirve de contraste: un descargo que avisa al comprador de que «Ledger is not a party to this transaction», que la compra, el pago y la entrega son del revendedor y van bajo sus propias condiciones. Aparece una sola vez en toda la página, en el aviso de redirección de un revendedor concreto de Turquía, y no está en la entrada de CryptoBilis ni en ninguna otra. No es la política general de la lista: es un aviso puntual que alguien escribió una vez para un caso.

El movimiento resuelve además la cautela que arrastraba la primera lectura. CryptoBilis nunca aparece en la lista filipina, ni el 12 ni el 13 de octubre, aunque BitPinas y ABAB News situaran al revendedor en tres mercados. Lo que sí hay en Filipinas el 13-oct son sus dos tiendas de marketplace pausadas —Lazada y Shopee— y un tercer revendedor activo, CryptoKing. En Malasia están pausadas sus dos únicas entradas, así que el país se queda sin revendedor autorizado operativo. En Indonesia, en cambio, las otras tres entradas (N-Crypt, Tokopedia y la tienda de Shopee local) siguen sin anotación, aunque las de Shopee de Malasia y Filipinas sí la tengan.

Y eso toca de lleno la afirmación más comprobable que hizo Ledger. El 9-oct dijo que el incidente estaba aislado en ese revendedor y ese mercado. Al 13-oct la anotación de pausa cubre cinco entradas en tres países. Hay dos lecturas posibles y aquí no se elige ninguna: o la contaminación es más ancha de lo que decía el comunicado, o esas tiendas de Shopee y Lazada eran los canales de CryptoBilis dentro de los marketplaces, lo que encajaría con que la prensa situase al revendedor en Indonesia, Malasia y Filipinas desde el primer día. Ninguna fuente pública lo aclara, y la diferencia entre las dos importa mucho para cualquiera que haya comprado un Ledger en una de esas tres tiendas.

¿La pausa de CryptoBilis afecta solo al producto de Ledger?

Lo esperable era que sí: Ledger pide parar sus ventas, el canal retira el producto Ledger y sigue vendiendo el resto de marcas. Si fuera así, la pausa sería una medida del fabricante sobre su propio inventario, muda sobre el estado de la tienda. No es lo que hay.

En la tienda, el listado de producto Ledger devuelve 12 referencias —11 de Ledger, desde el Nano Gen5 hasta el Nano S Plus, más un Ellipal— y las 12 están agotadas en las dos lecturas, la del 12 y la del 13 de octubre. En el listado general aparecen otras 12 referencias de Arculus, CoolWallet, D'CENT, BitMiner, BitSafe y Cryptosteel, y solo una está disponible: una entrada para el Bitcoin Pizza Day de 2025. La pausa cubre todas las marcas, y eso lo dice también Ledger: el 10-oct afirmó que CryptoBilis «has ceased sales of all hardware wallet inventory until the investigation is concluded». Encaja con el aviso que la propia tienda publicó según BitPinas, que suspendía ventas y envíos de hardware wallets de todas las marcas, online y en sus tiendas físicas.

Dos cautelas sobre esta lectura. La página del listado general responde con título de página no encontrada y marcada como no indexable aunque renderice 12 productos, así que esas referencias son solo una rejilla parcial del catálogo: no se puede decir «todo el catálogo». Y la portada de la tienda, leída los dos días, seguía anunciando en su banda superior que los pedidos salen el siguiente día laborable desde Kuala Lumpur, sin ningún aviso visible del incidente.

¿Qué significa «revendedor autorizado» si nadie comprueba quién es el dueño?

La entrada de CryptoBilis tiene los mismos cinco campos el 12 y el 13 de octubre de 2026 que cualquier otra de la página: nombre, enlace, logotipo, indicador de venta online e indicador de tienda física. Ninguno registra quién es el dueño ni cuándo se comprobó. Entre marzo y octubre de 2026, según el ex-cofundador, la sociedad cambió de titular y ninguno de esos cinco campos se movió.

Eso es lo que hace a este caso distinto de los fallos de seguridad que suele cubrir la prensa. No hay un control que alguien saltara: en el eje de la propiedad del canal no hay campo donde mirar. El comprador final solo puede comprobar lo que la página le muestra, que es el nombre de la tienda y el enlace.

La pregunta siguiente es por qué nadie vuelve a comprobarlo, y la respuesta está escrita en la misma página. Una lista de revendedores es una herramienta comercial: sirve para que el comprador de Yakarta o de Kuala Lumpur encuentre un sitio donde pagar en moneda local y recibir el paquete en días en vez de semanas. Su función es dirigir ventas, y para eso basta un nombre y un enlace. Lo que la página no hace en ningún sitio es responder de quién está detrás del negocio: no hay un solo campo que lo afirme ni que lo feche. Ninguna de las entradas muestra fecha de comprobación ni titular. Borrar una entrada sí es barato, como demostró la de Geekay. Lo que no existe es la señal que diría cuándo toca borrarla: el cambio de dueño de una sociedad no llega a la lista por ningún canal.

Conviene fijar la distinción con los otros tres ejes que ya hemos medido, porque se confunden con facilidad. En los ataques de 2026 contra paquetes npm y Connect Kit el eje era el código: una dependencia envenenada, una firma válida certificando malware, el dispositivo y el canal intactos. En el fallo de entropía del firmware de Coldcard el eje era el fabricante: el producto salió defectuoso de origen y el canal no tuvo nada que ver. En la brecha de ShipMonk que afectó a clientes de Trezor el eje era un proveedor logístico, y lo que se filtró fueron datos de clientes, no dispositivos. Aquí el eje es la titularidad de la empresa que entrega la caja, y es el único de los cuatro que no deja rastro técnico en ninguna parte. Es la misma dirección que apuntábamos en el recuento de ataques contra infraestructura en vez de contratos, un escalón más afuera: del contrato al servidor, del servidor al accionariado del distribuidor.

¿Quién compró CryptoBilis y qué se sabrá el 19 de octubre de 2026?

Aquí la calidad de la información baja mucho, y hay que decirlo antes de resumirla.

Las dos primeras filas no cuadran con la tercera. Si la venta se cerró en marzo y el registro da el 100 % de las participaciones desde el 3 de agosto, hay cinco meses que ninguna fuente reconcilia: pueden ser el desfase normal entre contrato e inscripción, pueden ser dos tramos de una misma operación, pueden ser un error de lectura del registro. Las tres siguen abiertas.

Tampoco está documentada ninguna intención detrás de la cláusula de confidencialidad. Lo medible es su efecto: entre marzo y octubre de 2026, la tienda siguió operando con la marca de revendedor autorizado intacta mientras el público no podía saber quién era su dueño. Eso es lo documentado; la intención con la que se firmó la cláusula, no.

Y la línea que esta pieza no cruza: nadie ha probado que el nuevo propietario esté detrás del robo. No hay investigación forense pública que lo vincule, y tanto BitPinas como ABAB News lo dicen expresamente en sus propias crónicas. La nacionalidad y el domicilio del nuevo titular sirven para fechar el cambio de dueño y para nada más.

¿Qué mitigaciones sirven contra una adquisición del canal y cuáles no?

Lo que Ledger pide, literal y con fecha del 9-oct-2026: quien haya comprado en CryptoBilis en los 90 días previos al aviso, del 11 de julio al 9 de octubre de 2026, no debe inicializar el dispositivo; quien ya lo haya inicializado debe mover los fondos a un firmante nuevo con una semilla nueva. Sobre eso, el reparto de lo que sobrevive a este vector y lo que no.

La cuenta es nuestra: 90 días antes del 9-oct-2026 es el 11-jul-2026. La ventana de la recomendación de Ledger empieza cuatro meses después del mes en que, según su ex-cofundador, la tienda cambió de dueño. Quien comprara en abril, mayo o junio queda fuera del aviso tal como está redactado. Ledger no ha dicho que las dos fechas tengan relación, ni ha explicado de dónde sale la ventana de 90 días, y por eso la lectura práctica es conservadora: si el dispositivo salió de ese canal en cualquier momento de 2026, el plazo de 90 días no es el criterio relevante.

Hay un riesgo añadido en la propia reacción. La investigadora de seguridad Taylor Monahan advirtió el 9-oct, recogida por Protos, de que la alarma estaba haciendo pensar en una vulnerabilidad de día cero que no parece existir, y de que quien mueve fondos deprisa se expone al phishing que persigue precisamente esa prisa. El repaso práctico de la migración está en la guía de la forma más segura de guardar cripto.

¿Protege comprar a un revendedor autorizado de Ledger contra un cambio de dueño de la tienda?

Comprar a un distribuidor autorizado no protege contra un canal que cambia de dueño. Tres artículos nuestros lo presentan al 13-oct-2026 como si lo hiciera, y los tres necesitan corrección.

• Qué es una hardware wallet presenta pedir «directamente en el sitio web del fabricante o en un distribuidor autorizado» como dos vías equivalentes. No lo son.
• La guía de autocustodia 101 ofrece «distribuidores autorizados o directamente al fabricante» como disyuntiva indiferente. La titularidad del revendedor la deshace.
• La forma más segura de guardar cripto trata el riesgo del canal como exclusivo de los vendedores externos de los grandes mercados online. CryptoBilis estaba en la lista oficial.

La corrección que toca escribir en las tres es la misma. La autorización reduce el riesgo de producto falsificado, que es un riesgo real y frecuente, y deja intacto el riesgo de titularidad. Las dos vías no son intercambiables: comprar al fabricante elimina un eslabón, comprar a un revendedor autorizado lo mantiene con una etiqueta que se concedió una vez.

¿Qué cambiará en la lista de revendedores de Ledger el 19 de octubre y el 12 de noviembre de 2026?

Tres, con fecha.

Mientras tanto, lo que un comprador puede evaluar desde el 9-oct-2026 es concreto: la lista oficial de revendedores de un fabricante de hardware wallets es un directorio comercial, no un certificado vigente. Dice que una tienda fue aprobada alguna vez, y la serie del 12 al 13 de octubre muestra que el fabricante borró una entrada entre el 12 y el 13 de octubre de 2026. Lo que la lista no dice —y, en el caso de Ledger, no tiene dónde decirlo— es quién es hoy el dueño de la tienda a la que te manda.

Fuentes y enlaces: Lista oficial de revendedores de Ledger · Protos, 9-oct-2026 · Crypto Briefing · BitPinas · ABAB News, 10-oct-2026 · Benzinga · Bitcoin Magazine · Bitcoin.com News, 10-oct-2026 · crypto.news, 10-oct-2026 · CryptoBilis (portada de la tienda, leída el 12 y el 13-oct-2026)