Me llegó carta falsa Ledger por QR: frase semilla robada en minutos

Tipo de fraude	Phishing postal con robo de frase de recuperación de hardware wallet
Redes afectadas	BTC, XRP, ETH y otras redes
Destino de los fondos	Determinado mediante análisis on-chain caso a caso
¿Fondos recuperables?	Solicita un estudio de tu caso para saberlo

La víctima logró salvar parte de sus fondos en Cardano al reaccionar en cuestión de minutos tras introducir la frase semilla, pero no pudo evitar que el resto de las criptomonedas fueran barridas automáticamente. Esa reacción rápida es lo que marcó la diferencia entre una pérdida total y una parcial.

Este es el tercer caso de phishing postal de Ledger documentado en b-block en pocas semanas. La carta llegó al domicilio de la víctima imitando a Ledger SAS con identidad visual corporativa y el pretexto de una actualización de seguridad llamada Quantum Resistance. El código QR dirigía a los dominios fraudulentos qr.codigo-ledger.gl y actualizacion.algorithm-ledger.com, donde se solicitaba la frase semilla completa. El barrido automático de los fondos en BTC, XRP, ETH y otras redes se ejecutó en minutos.

Cómo funciona este fraude

La carta llegó con el aspecto exacto de una comunicación oficial de Ledger SAS: membrete, logotipo y terminología técnica coherente con las comunicaciones reales de la empresa. El pretexto era una actualización de seguridad con un plazo inminente y advertencias sobre consecuencias adversas si no se completaba el proceso.

El código QR de la carta dirigía a qr.codigo-ledger.gl, un sitio que imitaba visualmente la interfaz de Ledger y solicitaba introducir la frase semilla completa como paso necesario para la migración de seguridad. Esa solicitud es la señal definitiva del fraude: Ledger nunca pide esas palabras bajo ningún pretexto. En el momento en que se introducen en cualquier sitio externo al dispositivo físico, todos los fondos pasan a estar bajo control del atacante de forma inmediata e irreversible.

El barrido fue automático. Los scripts preconfigurados drenaron BTC, XRP, ETH y otros activos en paralelo en cuestión de minutos. Lo que refuerza la eficacia de esta campaña es la personalización: la filtración de datos de Ledger de 2020 expuso nombres, domicilios y modelos de dispositivo de más de 270.000 clientes. Con esa base de datos, los presuntos atacantes pueden enviar cartas que incluyen datos reales del comprador.

Las señales de alerta que pasaron desapercibidas

La frase semilla nunca debe introducirse en ningún sitio web externo al dispositivo físico, bajo ningún pretexto. Ledger no la solicita para actualizaciones, migraciones ni ningún otro proceso. El único uso legítimo es para restaurar el monedero en un dispositivo nuevo, sin internet, usando el teclado del propio hardware. Cualquier comunicación que pida esas palabras es un ataque, sin excepciones.

Los dominios codigo-ledger.gl y algorithm-ledger.com no pertenecen a Ledger. El único dominio oficial de Ledger es ledger.com. Cualquier variación que incluya la palabra «ledger» con cualquier elemento adicional es fraudulenta. Antes de introducir ningún dato en ningún sitio al que hayas llegado por un código QR, verifica en la barra del navegador que la URL es exactamente ledger.com.

Ledger publica todos sus avisos de seguridad en su web oficial. Si la actualización Quantum Resistance fuera real, existiría un comunicado verificable en ledger.com antes de que llegara ninguna carta.

Análisis técnico de los dominios

codigo-ledger.gl fue creado el 23 de marzo de 2026, apenas ocho días antes de los primeros usos documentados. En el momento del análisis ya estaba suspendido con estado clientHold por denuncias de phishing al registrador. Los datos del registrante estaban completamente ocultos bajo NICENIC, registrador hongkonés con historial de abuso. El alojamiento compartía infraestructura con otros 1.061 dominios bajo la misma IP de Cloudflare, firma típica de campañas de phishing a escala.

algorithm-ledger.com fue creado el 15 de abril de 2026 con 50 alertas públicas de abuso y reputación 0 en la IP. La creación de un segundo dominio tras el bloqueo del primero revela que la organización tiene preparados dominios de sustitución para continuar la campaña sin interrupción.

Qué muestra la trazabilidad blockchain

El análisis on-chain documentó un recorrido de tres saltos con fondos distribuidos entre múltiples redes. Los fondos en XRP y otras redes llegaron a Binance, exchange con KYC obligatorio y amplio historial de cooperación con autoridades. Los fondos en BTC llegaron a HitBTC, también con KYC. Los fondos ETH llegaron parcialmente a Hyperliquid, plataforma DeFi con menor nivel de KYC, lo que reduce las posibilidades de recuperación para esa porción. Ninguno de los destinos pasó por un mixer. El rastro está intacto y es documentable de forma admisible en un procedimiento judicial.

Si te ha pasado algo similar, qué puedes hacer

1. Si acabas de introducir tu frase semilla, actúa ahora. Mueve cualquier fondo que aún no haya sido drenado a una wallet completamente nueva, con una frase semilla nueva generada desde cero en un dispositivo limpio. La velocidad de reacción puede marcar la diferencia.

2. Conserva la carta original. No la tires. Es evidencia material con valor forense y judicial.

3. Documenta todo lo digital. Las URLs de los QR, capturas de los sitios de phishing, las transacciones visibles en blockchain y la fecha y hora exactas del evento.

4. Denuncia ante la Policía Nacional o la Guardia Civil. Para orientarte: cómo denunciar una estafa en internet en España. Puedes ver otros casos similares en nuestro análisis de la carta falsa de Ledger.

5. Solicita análisis pericial on-chain. Binance y HitBTC tienen KYC y activan los requerimientos judiciales. Puedes ver las opciones reales en nuestra guía sobre qué hacer si te han estafado con criptomonedas y sobre qué hace un perito forense de criptomonedas, y el caso de vaciado de cartera por frase de recuperación robada.

Preguntas frecuentes

¿Ledger envía cartas físicas a domicilio solicitando introducir la frase semilla en una web?

No. Ledger nunca solicita la frase semilla por ningún canal, incluyendo cartas postales. La frase semilla solo tiene un uso legítimo: restaurar el monedero en un dispositivo físico nuevo, sin internet, usando el teclado del propio hardware.

¿Qué dominios son los únicos legítimos de Ledger?

El único dominio oficial de Ledger es ledger.com. Cualquier variación que incluya la palabra ledger con cualquier elemento adicional es un dominio fraudulento. Verifica siempre en la barra del navegador antes de introducir ningún dato.

¿Qué hago si ya introduje mi frase semilla en una web después de escanear un código QR de una carta?

Actúa de inmediato. Mueve los fondos que aún no hayan sido drenados a una wallet nueva con una frase semilla nueva. Después conserva la carta original, documenta las URLs y denuncia ante la Policía Nacional o la Guardia Civil.

¿Puedo recuperar criptomonedas robadas de mi Ledger si los atacantes ya las han transferido?

Depende del destino. Los fondos que llegaron a Binance y HitBTC tienen KYC y posibilidades reales de recuperación parcial con denuncia formal y análisis pericial. Los fondos en plataformas sin KYC tienen posibilidades más limitadas.

¿Cómo puedo proteger mi Ledger de ataques de phishing postal?

La protección más efectiva es interiorizar una regla sin excepciones: la frase semilla nunca sale del dispositivo físico bajo ningún pretexto. Cualquier comunicación urgente de Ledger debe verificarse en ledger.com antes de actuar.

¿Qué es la filtración de datos de Ledger de 2020 y por qué sigue siendo relevante en 2026?

En julio de 2020 una brecha expuso datos de más de 270.000 clientes, incluyendo nombres, domicilios y modelos de dispositivo. Esos datos siguen circulando y permiten personalizar las cartas de phishing con información real del comprador.

---

Artículo elaborado por b-block. La información publicada tiene carácter divulgativo y no constituye asesoramiento legal.

Sobre el autor: b-block es un perito informático forense titulado por la Universidad Internacional de La Rioja (UNIR), con 3 años de experiencia. Más de 6,3 M€ analizados en 77 casos investigados.