Carta falsa de Ledger: estafa frase recuperación por código QR

Los atacantes usaron datos filtrados en 2020 para enviar cartas físicas personalizadas con el nombre, la dirección y el modelo exacto del dispositivo de cada víctima. Eso lo cambia todo: la guardia que tienes entrenada contra el phishing digital —revisar remitentes, sospechar de links extraños, ignorar SMS con URLs raras— no sirve de nada cuando el engaño llega en papel, con tu nombre impreso correctamente y el aspecto exacto de una comunicación corporativa legítima.

La carta invoca una supuesta actualización crítica llamada Quantum Resistance, presenta un plazo límite y advierte de consecuencias graves si no escaneas el código QR adjunto. El mensaje está diseñado para que actuar parezca más seguro que no actuar.

En el caso analizado, los activos drenados sumaron aproximadamente 35.000 dólares distribuidos en cuatro redes blockchain diferentes. Este artículo explica cómo funcionó el fraude, qué muestra la trazabilidad on-chain y qué puedes hacer si ya has introducido tu seed phrase.

Cómo funciona este fraude: phishing postal con ingeniería social avanzada

El vector de ataque combina dos elementos que raramente se usan juntos: soporte físico impreso y drenado automático de monedero. La carta llega a domicilio con todos los datos correctos —nombre, dirección, modelo de hardware wallet— porque los presuntos atacantes explotaron la filtración de datos que Ledger sufrió en 2020, en la que quedaron expuestos más de 270.000 registros de clientes con datos personales completos.

Una vez la víctima escanea el código QR impreso en la carta, accede a un dominio fraudulento que imita visualmente la interfaz oficial de Ledger. Ahí se le solicita introducir su frase de recuperación de 12 palabras —también llamada seed phrase— bajo el pretexto de completar la actualización de seguridad. En el momento en que esas palabras se introducen, el presunto atacante obtiene control total sobre todos los activos almacenados en ese monedero, en todas las redes, de forma inmediata e irreversible.

El plazo artificial y las amenazas de pérdida de funcionalidad cumplen una función psicológica precisa: impedir que la víctima consulte con alguien antes de actuar. La urgencia diseñada es el mecanismo de evasión más efectivo que existe, porque neutraliza el pensamiento crítico precisamente cuando más se necesita.

Lo que distingue este caso de un phishing ordinario es la escala de la personalización. No es un correo masivo genérico. Es una carta dirigida a ti, con tu nombre, que sabe qué dispositivo tienes. Eso genera una confianza inicial que un email jamás conseguiría.

Las señales de alerta que pasaron desapercibidas

Analizando el caso con perspectiva, hay tres señales que habrían permitido identificar el fraude antes de introducir cualquier dato:

Ledger no solicita la seed phrase por ningún canal, nunca. Ni por carta, ni por email, ni en su aplicación, ni en ningún proceso de actualización. La frase de recuperación solo existe para restaurar el monedero en un dispositivo nuevo. Cualquier comunicación que pida esas palabras, venga de donde venga, es un fraude sin excepciones.

El dominio del QR no era ledger.com. La URL a la que redirigía el código era un dominio fraudulento sin ninguna relación con la empresa oficial. Antes de introducir cualquier dato en cualquier web, hay que verificar que la URL completa corresponde exactamente al dominio oficial, sin variaciones ni subdominios extraños.

Ninguna empresa legítima impone plazos urgentes vinculados a una carta postal. Las actualizaciones de firmware de Ledger se realizan a través de la aplicación Ledger Live, no mediante páginas web accesibles por QR. La urgencia artificial es, en este contexto, la señal más clara de ingeniería social.

Análisis técnico del dominio fraudulento

El dominio fraudulento fue registrado apenas 48 horas antes del envío postal, lo que constituye por sí solo un indicador de riesgo elevado. Los dominios con vida muy corta antes de ser usados en un ataque —conocidos como freshly registered domains— son un patrón recurrente en campañas de phishing porque evitan ser marcados por los feeds de inteligencia de amenazas.

El registrador elegido figura recurrentemente en informes de abuso de la industria. Los datos del registrante estaban completamente anonimizados mediante un servicio de privacidad WHOIS/RDAP, lo que impide identificar al titular real sin una orden judicial en la jurisdicción correspondiente.

La infraestructura usó Cloudflare como proxy inverso, técnica que oculta la IP real del servidor de origen y dificulta el rastreo. En el momento del ataque, las plataformas de threat intelligence más usadas todavía clasificaban el dominio como benigno porque llevaba menos de 48 horas activo. Esa ventana de impunidad inicial es la que los presuntos atacantes explotan deliberadamente.

Qué muestra la trazabilidad blockchain

Una vez la seed phrase queda comprometida, el drenado es automático y prácticamente simultáneo en todas las redes. El análisis on-chain muestra un recorrido de varios saltos desde las carteras de origen hasta los destinos finales, con técnicas de ofuscación aplicadas de forma diferente según la red.

En algunos tramos, los fondos pasaron por procesos de mezcla: los activos se fragmentan y se combinan con fondos de otras procedencias para dificultar el rastreo directo. En otros tramos, los movimientos son más directos y trazables. El destino final determina qué vías de recuperación quedan abiertas, y eso solo puede determinarse caso a caso mediante un análisis pericial específico.

Lo que sí es común en este tipo de fraude: ninguno de los fondos desaparece de la blockchain. Cada movimiento queda registrado de forma permanente e inalterable. La dificultad no está en si se puede seguir el rastro, sino en tener las herramientas y el conocimiento forense para hacerlo correctamente y que el resultado sea admisible y útil en un procedimiento judicial.

Si te ha pasado algo similar, qué puedes hacer

1. No muevas más fondos ni intentes recuperar tú solo. Cualquier movimiento adicional puede mezclar evidencia forense o, peor, caer en una segunda estafa.
2. Documenta todo antes de que desaparezca. Guarda la carta física original, capturas de pantalla de la web a la que accediste, las transacciones en la blockchain y cualquier comunicación recibida.
3. Denuncia ante la Policía Nacional, la Guardia Civil o la Fiscalía. Las estafas con criptomonedas tienen encaje legal en el ordenamiento español. Sin denuncia, no hay vía judicial.
4. Solicita un análisis pericial on-chain. Un informe pericial que documente el recorrido de los fondos puede ser determinante en el procedimiento. La trazabilidad blockchain es verificable y admisible.
5. Cuidado con los recuperadores falsos. Tras una estafa, es habitual recibir contactos de personas que se presentan como especialistas en recuperación y piden un pago anticipado. Ningún servicio legítimo cobra por adelantado ni garantiza recuperaciones. Si alguien te promete recuperar tus fondos previo pago, es una segunda estafa.

Preguntas frecuentes

¿Ledger puede enviar una carta postal solicitando actualizar la seguridad del monedero?

No. Ledger no comunica actualizaciones de seguridad mediante cartas postales ni solicita ninguna acción del usuario a través de ese canal. Las actualizaciones de firmware se gestionan exclusivamente desde la aplicación Ledger Live. Si recibes una carta que dice ser de Ledger y pide que escanees un código o introduzcas datos, es una estafa. Guarda la carta y no actúes.

¿Qué hago si ya introduje mis 12 palabras de recuperación en una web tras escanear un QR?

Actúa de inmediato: tu monedero está comprometido. Si aún hay fondos, la prioridad es moverlos a un monedero nuevo —con una seed phrase nueva, generada desde cero en un dispositivo limpio— antes de que los activos sean drenados. Después documenta todo y denuncia. El tiempo importa.

¿Cómo distingo una carta oficial de Ledger de una carta falsa?

Hay tres comprobaciones básicas. Primera: una carta legítima de Ledger jamás pide tu seed phrase. Segunda: verifica la URL completa de cualquier QR antes de introducir datos, debe ser exactamente ledger.com sin variaciones. Tercera: si la carta impone un plazo urgente con amenazas de pérdida de acceso, es un indicador casi seguro de fraude.

¿Se pueden recuperar las criptomonedas robadas mediante phishing postal?

Depende del recorrido concreto que hayan seguido tus fondos, y eso solo podemos determinarlo tras un análisis pericial específico de tu caso. Lo que sí podemos decirte es que los fondos no desaparecen de la blockchain: cada movimiento queda registrado. Si hay vías abiertas, las identificamos.

¿Qué es la filtración de datos de Ledger de 2020 y por qué sigo siendo objetivo?

En 2020, Ledger sufrió una brecha de seguridad que expuso datos personales de más de 270.000 clientes: nombres, direcciones postales y modelos de dispositivo. Esos datos llevan circulando en foros de la dark web desde entonces y se siguen usando en campañas de fraude dirigido. Si compraste un hardware wallet Ledger antes de esa fecha, tus datos pueden estar en esas bases.

¿A quién debo denunciar si he sido víctima de una estafa con carta falsa de Ledger?

Puedes denunciar en cualquier comisaría de la Policía Nacional o cuartel de la Guardia Civil, también en la Fiscalía. Aporta la carta original, capturas de la web accedida, los hashes de las transacciones afectadas y cualquier comunicación relacionada. Un informe pericial on-chain que documente el recorrido de los fondos refuerza significativamente el procedimiento.

---

Artículo elaborado por b-block. La información publicada tiene carácter divulgativo y no constituye asesoramiento legal. Si has sido víctima de un fraude con criptomonedas, consulta con un profesional.

Sobre el autor: b-block es un perito informático forense titulado por la Universidad Internacional de La Rioja (UNIR), con 3 años de experiencia en trazabilidad de fondos en estafas cripto. Más de 6,3 M€ analizados en 77 casos investigados.