“Hackeamos el Libro de Contabilidad”: ¿Qué era realmente la afirmación, y qué versión del informe puede aclararte esta noche?

Hemos hackeado el libro de registros.

Ese es el artículo que el CEO de OneKey, Yishi Wang, publicó el 27 de agosto. Fue creado con el objetivo de causar impacto: un competidor de carteras digitales que pretende atacar la marca más confiable del sector. La afirmación que se menciona en el titular no es tan simple como parece; la versión de la aplicación Ledger’s Ethereum en tu dispositivo decide si realmente tiene algún efecto en ti. Primero, hay que establecer los parámetros necesarios. Esta es una ronda más de una guerra de marketing y seguridad entre las marcas de carteras digitales, que son empresas privadas cuyo verdadero valor está en la confianza de los usuarios. El precio del Bitcoin está cerca de los 77,600 dólares, lo cual representa un descenso del 38% con respecto al pico de 52 semanas atrás. El valor total de mercado es de aproximadamente 2.6 billones de dólares, y el indicador de codicia es de 68. No hay movimientos en las cifras bursásticas relacionadas con este tema. Pero tus inversiones sí se afectan.

Lo que el equipo de seguridad de OneKey dice que hizo

El equipo de seguridad interno de OneKey, Anzen, dijo que…Se reprodujo un ataque de “reemplazo de transacciones” contra la aplicación de Ethereum de Ledger.– Versión 1.22.1; una versión obsoleta. Se trata de un proceso que ocurre en un laboratorio. El mecanismo utilizado parece ser el peor caso posible: se revisa la transacción A en la pantalla del propio dispositivo, y el chip firma la transacción B. De esta manera, se aprueba una transferencia normal, y las monedas se envían a una dirección que nunca se vio. No se extrae ninguna clave privada, ni se utiliza ninguna frase de recuperación. El error no hace lo que significa “hemos hackeado Ledger”; además, no puede funcionar en un dispositivo actual.

Un cartera de hardware es una promesa única, llamada “garantía de confianza”. Lo que se confirma en la pequeña pantalla del dispositivo es exactamente lo que el chip seguro del mismo firma. El chip nunca entrega la clave al ordenador al que está conectado. Ledger detectó este defecto.LSB-023: una condición de carrera que rompió esa garantía en un solo punto.Los parámetros de firma se almacenan en la memoria compartida mientras se lee la pantalla. Un segundo comando que llega durante el proceso de revisión puede sobrescribir esa memoria, sin necesidad de actualizar la pantalla. Es una falla de tipo “time-of-check to time-of-use”; Ledger dice que esta falla se introdujo en agosto de 2025 y afectó la aplicación Ethereum hasta la versión 1.22.1, así como al SDK Secure subyacente hasta la versión 26.6.0. Lo importante es que el atacante ya debe tener control sobre la conexión entre tu dispositivo y su host: ya sea mediante malware, un programa de cartera comprometido, o una página web maliciosa que utiliza las funciones WebHID o WebUSB del navegador para comunicarse directamente con el hardware. Aun así, debes presionar “Aceptar”. Se trata de un redireccionamiento, no de robo de claves. Además, esto no puede causar que la cartera se vuelva inutilizable si está desconectada en un cajón.

La cronología es el hecho en sí.

Lo interesante es el calendario, no el tuit. El equipo de seguridad interna de Ledger dice que encontró el error y ya tiene una solución preparada.Unas dos semanas antes de que alguien fuera de la empresa se enterara de ello.La actualización a nivel de aplicación se lanzó como Ethereum App 1.22.2 el 13 de agosto. El módulo de defensa en profundidad se implementó en el Secure SDK (26.6.1) el 21 de agosto. Una empresa externa llamada TestMachine publicó la misma condición de error a finales de agosto, después de que la solución ya estuviera disponible. El CTO de Ledger se opuso públicamente a esto, diciendo que reproducir un error ya corregido no es lo mismo que “hackear Ledger”.

Y aquí, la historia de las versiones hace algo que vale la pena leer con atención. El 25 de agosto, dos días antes del post de OneKey, Ledger lanzó la versión 1.22.3.Se han corregido dos problemas de firma que no estaban cubiertos en la versión 1.22.2.Se catalogaron como LSB-024 y LSB-025. LSB-024 era un error aritmético: la aplicación leía el número de operaciones en un lote con signo claro, utilizando un contador de 16 bits; sin embargo, almacenaba el resto de las operaciones en 8 bits. Por lo tanto, un lote de 257 operaciones hacía que el conteo volviera a ser uno. La pantalla mostraba solo la última operación, mientras que la firma autorizaba todo el conjunto de operaciones. LSB-025 se encontraba en el proceso de intercambio de Ledger: la aplicación verificaba el token, la cantidad y el destino, pero nunca comprobaba si la acción solicitada era realmente un pago. Por lo tanto, un proveedor malintencionado podía sustituir la aprobación del token sin necesidad de mostrar ningún mensaje adicional en la pantalla. Las notas de Ledger indican que ambos problemas ya habían sido corregidos en el código base meses antes de que se lanzara la versión 1.22.2, sin explicación alguna sobre por qué no se incluyeron en esa versión. Ledger dice que ninguno de los tres problemas fue aprovechado, y ningún usuario perdió fondos.

Dos lecturas, uno separador

Ambas interpretaciones de esta historia son, por ahora, correctas. Según la primera interpretación: Ledger logró implementar tres correcciones en los dos lanzamientos en doce días, y pasó un mes lidiando con disputas relacionadas con la divulgación de información – una situación complicada debido a los defectos del sistema. Según la segunda interpretación: nada fue explotado, ningún dinero de usuarios se perdió, y Ledger sostiene que ningún usuario fue hackeado. Todas las pruebas realizadas fueron en entornos de laboratorio, contra una versión de la aplicación ya reemplazada. El punto que distingue ambas interpretaciones no está en el texto del hilo; está en la versión de la aplicación Ethereum que se instala en tu dispositivo actualmente. Si la versión es inferior a 1.22.3, parte de esa lista se aplica a ti. En la versión 1.22.3 o superior, esta “historia” es simplemente una historia de compañías privadas que discuten entre sí.

Por qué tu dinero debería importar.

Las empresas, al igual que los “bug” en un sistema informático, viven en los límites. Una cartera de hardware marca el límite de seguridad; pero no lo elimina. La clave permanece dentro de un chip certificado, y todo lo que la rodea – la base de datos de marketing, el navegador, el nivel de firma, la integración de intercambio – sigue siendo un problema de confianza, con un logotipo encima. Ledger ha demostrado este patrón durante seis años. En 2020, su base de datos de comercio electrónico fue comprometida.Exponer más de un millón de registros de contacto con clientes.Eso permitió que se realizaran campañas de phishing durante años. En diciembre de 2023,Código malicioso se introdujo en la biblioteca de su Connect Kit.ySe ganaron aproximadamente medio millón de dólares.De los usuarios de las aplicaciones basadas en él: el problema se propagó a través de un paquete de npm, y no a través de ningún chip. En enero de 2026…Datos de pedidos de clientes filtrados a través de un proveedor de nube de tercerosCada vez, la frase “tus llaves están seguras” era verdadera desde el punto de vista técnico… pero apenas tenía importancia en cuanto al daño causado.

Eso es importante para un inversor, porque la confianza es todo lo que existe en el balance de la empresa relacionada con las monedas digitales. Y precisamente esa confianza es lo que los competidores están poniendo a prueba públicamente para ganar cuota de mercado. Los informes de este año indican que Ledger, cuyo valor privado fue de aproximadamente 1.4 mil millones de dólares en 2023, estaba considerando la posibilidad de cotizar en los mercados estadounidenses.Un objetivo reportado de 4 mil millones de dólares.Y había contactado a Goldman Sachs, Jefferies y Barclays. La empresaPosponer esos planes en mayo, debido a las condiciones del mercado.Esta historia surgió más tarde, así que no es el factor que causa el fracaso del IPO. Es simplemente otro factor de riesgo que, con el tiempo, afectará el valor de esa historia. Mantén las expectativas en un nivel razonable: todo el mercado de monedas digitales genera unos cientos de millones de dólares al año en ingresos.Crecimiento limitado, a un ritmo estimado de aproximadamente un cuarto cada año.Se trata de un debate sobre el margen de confianza dentro de una industria pequeña, pero en rápido crecimiento.

El evento que realmente reescribe las reglas del sector es aquel que, según Ledger, aún no ha ocurrido: una verdadera pérdida de fondos relacionada con el hardware actual. La industria tuvo una demostración directa de esto en julio, cuando los atacantes realizaron ataques…Aproximadamente 38 millones de dólares — aproximadamente 594 bitcoins.En aproximadamente 500 carteras, en 25 minutos, se logró ello gracias a un error en la entropía de Coldcard, una falla en el manejo del aleatoriedad del firmware, algo que ocurre en el lado del software, y no en el chip certificado. Nada en el intercambio entre OneKey y Ledger se acerca a eso. Esa es la diferencia entre un reingreso en el laboratorio y un evento relacionado con fondos; es también la diferencia entre ruido y riesgo.

Esta noche, en cinco pasos.

Nada aquí requiere una opinión. Lo que se necesita es una pantalla.

1. Abre la aplicación Open Ledger Live y lee la versión de la aplicación Ethereum. Debe ser 1.22.3 o superior.
2. Entienda que la solución está en el dispositivo, no en su teléfono o computadora. Actualizar Ledger Live o el firmware del dispositivo no cambia la versión de la aplicación; la aplicación en sí debe ser actualizada. La condición de “salida” está indicada antes de la condición de “entrada”: versión ≥ 1.22.3.
3. Trate a WebHID y WebUSB como su verdadera superficie de ataque. Firme los documentos desde las páginas web que usted controla; verifique la dirección del destinatario en la pantalla física del dispositivo, no en la ventana de la aplicación. Además, trate cualquier dApp que le muestre una transacción que no puede leer directamente en el dispositivo como un riesgo de firma ciega.
4. Se utiliza la custodia en capas, de modo que la capa que puede ser engañada sea aquella en la que se puede permitir perder algo: la mayor parte de la posición en el almacenamiento en frío, los gastos de este mes en una cartera caliente.
5. Cuando llegue el siguiente titular “hackeado”, hay que aplicar tres filtros de una sola vez: ¿se movieron fondos reales? ¿Se utilizó hardware de la versión actual? ¿La solución se envió antes de que se divulgara la información? Si hay tres “no”, eso significa que debe estar en la lista de vigilancia, pero no es necesario tomar ninguna acción. Si hay un “sí” en alguno de los puntos, entonces se puede tomar alguna acción; los retwitteos se realizan después de eso.

Esta lista de verificación tiene una fecha de vencimiento, como todo plan de acción. Se mantiene correcta solo mientras los defectos de Ledger sigan ocurriendo en las capas de procesamiento de aplicaciones obsoletas. Deja de ser suficiente el día en que un defecto descubierto se demuestre efectivo contra el hardware actual, con monedas realmente en movimiento… Es el tipo de riesgo que se denomina “Coldcard”, no “OneKey”. Ese es el cambio de régimen que elimina la idea de “actualizar y seguir adelante”, dejando así al descanso la pregunta honesta: un monedero de hardware guarda la clave dentro del chip, pero no protege el enlace, el navegador o tu atención. Cada capa que se utiliza tiene sus límites. Sepa en qué lado están sus monedas.