Guardar bitcoin (BTC) en un solo dispositivo de un solo fabricante ya no es suficiente. Ledger, empresa creadora de hardware wallets, confirmó el 10 de octubre un implante no autorizado en un dispositivo que CryptoBilis, revendedor autorizado, vendió a usuarios del Sudeste Asiático. Investigadores estiman unos USD 86 millones robados en BTC, ether (ETH) y tron (TRX).

A este nuevo caso de Ledger se suman las filtraciones de datos personales de usuarios de la misma empresa, el fallo de Coldcard, así como también un número incesante de ataques con inteligencia artificial (IA) al ecosistema de Bitcoin y de criptomonedas.

Publicidad

Un dispositivo adulterado como los de Ledger puede exponer la frase semilla, la lista de palabras que autoriza la transferencia de fondos de bitcoin.

Con esa frase semilla, el atacante puede mover los fondos, así que, si el implante en los equipos de Ledger funciona igual, quien controla el dispositivo controla las tenencias que existen en él. El resultado de ello es que depender de un solo aparato significa un punto único de fallo.

El estándar de seguridad que puede imponerse es técnicamente complejo

Para eliminar esa dependencia, el método que puede convertirse en un estándar de seguridad fiable para la custodia de BTC es el multisig (firma múltiple, que exige varias firmas para mover fondos) y multi-proveedor, especialmente para quien guarda un patrimonio que justifica la complejidad.

Esa metodología implica utilizar varias firmas (por ejemplo 2 de 3) y que sean provenientes de distintas wallets, de modo tal que, si una falla, esto no produzca un punto de fallo. La desventaja de este sistema es la complejidad técnica que impone.

Publicidad

No obstante, el riesgo cero no existe, ni en un banco, ni en la propia casa ni en una wallet de autocustodia.

Por lo tanto, y como el riesgo cero no existe, informarse e instruirse es la mejor defensa que queda cuando el consejo habitual falla. Los compradores de CryptoBilis siguieron ese consejo, comprar a un revendedor autorizado, según el informe de robo de CriptoNoticias, y perdieron fondos igual. Nadie nace sabiendo, pero lo desconocido suele parecer más difícil de lo que es.

Multisig con varios fabricantes, la respuesta a un ataque sofisticado

El equipo detrás de la wallet exclusiva de Bitcoin Nunchuk sostuve en su publicación en X del 11 de octubre que el ataque a Ledger es de los más sofisticados contra las wallets, porque exigió comprar una empresa en otro país y fabricar a escala implantes con chip de telefonía, conexión móvil y procesador.

Según Nunchuk, un atacante con esos recursos vuelve insuficientes las defensas que suponen que la frase semilla sigue siendo secreta.

Publicidad

El timelock (bloqueo por tiempo, un retraso antes de habilitar una vía de recuperación) solo posterga el riesgo, de acuerdo con lo dicho por Nunchuk, porque el atacante con la semilla espera a que venza, y las bóvedas (vaults), que combinan bloqueos con una vía de recuperación, fallan igual si esa vía depende de una sola clave.

Nunchuk, que desarrolla wallets con multisig, propone por eso que cada firmante sea de otro fabricante, con una pila de hardware y software independiente, sin componentes compartidos.

El caso de Bybit muestra que la independencia de los firmantes pesa más que su cantidad. El exchange perdió USD 1.500 millones en 2025 porque todos sus firmantes usaban la misma interfaz web comprometida, una multisig con una sola pila compartida.

Un desarrollador propone usar un equipo sin conexión

Paul Sztorc, desarrollador, economista y autor de las propuestas de mejora de Bitcoin BIP-300 y BIP-301 y que impulsa la bifurcación de Bitcoin llamada eCash, plantea en X una metodología de autocustodia basada en un equipo sin conexión.

Publicidad

Su receta es comprar con efectivo una computadora portátil, instalar un programa de wallet como Electrum o Sparrow, practicar con 10 dólares en bitcoin, extraerle la tarjeta de red inalámbrica y recién entonces crear las claves.

El desarrollador y economista Paul Sztorc. — Paul Sztorc durante una entrevista en mayo de 2026. Fuente: YouTube.

Según respondió a un usuario, las transacciones salen de esa computadora por código QR, una imagen que una cámara escanea.

Sztorc afirma que así se obtiene un dispositivo “demostrablemente imposible de vulnerar”. Reconoce que su método es artesanal, es decir, que cada usuario debe armarlo a mano en lugar de comprar un producto ya configurado, y que por eso mucha gente lo rechaza. Según él, dado que una «abuela» no lo haría, «¿por qué no visitas a tu abuela y lo haces por ella?», dijo Sztorc.

Consultado sobre si combinaría ese equipo con otros dos dispositivos firmantes, Sztorc respondió que sí, de modo que también coincide en repartir las firmas. En su respuesta sobre multisig advirtió que por ahora la multisig no es segura para personas no expertas, y calificó de «tragedia horrible» el lento avance de su usabilidad.

Publicidad

Nunchuk y Sztorc coinciden en repartir las firmas y difieren en cómo, y cada uno promueve su propio producto, Nunchuk con wallets multisig y Sztorc con BitWindow, su software.

La garantía de Sztorc tiene un límite, porque, si el implante de Ledger trae su propio módem, como sostiene Nunchuk, quitar la tarjeta de red no lo desconecta. En cambio, comprar con efectivo dificulta elegir a la víctima.

A quién le conviene la multisig y cuánto cuesta

El método multisig compensa cuando el patrimonio justifica el esfuerzo de configurarla, y la advertencia de Sztorc sobre su dificultad respalda acotar así el estándar.

Para montos menores, un dispositivo comprado directo al fabricante es un paso intermedio. Comprar directo reduce el riesgo de cadena de suministro, el recorrido del equipo desde el fabricante hasta el usuario, aunque un solo fabricante sigue siendo un solo proveedor.

Publicidad

La objeción más fuerte a la tesis es esa compra directa, porque el implante apareció en un dispositivo de un revendedor y Ledger afirma que su infraestructura no muestra indicios de compromiso.

Cada opción cubre una amenaza distinta:

Opción	Amenaza que cubre	Amenaza que no cubre	Costo
Un dispositivo comprado directo	Manipulación en el camino al usuario	Falla del propio fabricante	Bajo
Computadora sin conexión (Sztorc)	Conexión del equipo a una red, según Sztorc	Un solo equipo y una sola semilla	Trabajo manual y conocimiento
Multisig con fabricantes distintos	Falla de un dispositivo o de un fabricante	Firmantes que comparten una misma pila	Conocimiento, respaldos y más frases semilla
Exchange	No exige guardar las claves	Concentración de fondos en un blanco	Depender de un tercero

Adoptar la firma múltiple tiene un costo, porque mueve el riesgo del fabricante al usuario. Exige cierto conocimiento para configurarla, respaldar los archivos de configuración (la información que une a los firmantes), guardar más frases semilla y practicar la recuperación antes de mover fondos.

Las defensas de Bitcoin suben de nivel cuando el usuario deja de confiar en un solo proveedor y asume el costo de aprender a repartir la confianza.

Publicidad

Tras el caso Ledger, guardar bitcoin exige aprender a repartir la confianza