Las Falsas Aplicaciones de Ledger Live Están Robando Criptomonedas

Los ciberdelincuentes están utilizando falsas aplicaciones de Ledger Live y alertas de phishing para robar frases semilla, lanzando malware que drena silenciosamente las billeteras de criptomonedas en diferentes plataformas.

Los ciberdelincuentes están utilizando versiones falsas de Ledger Live — la aplicación utilizada para gestionar criptomonedas en las carteras Ledger — para robar frases semilla y vaciar los fondos de los usuarios. Moonlock Lab reveló que desde agosto de 2024, al menos cuatro campañas activas de malware han apuntado a Ledger Live con ataques de phishing.

Inicialmente, las aplicaciones falsas solo podían robar notas y datos de cartera. Pero hoy en día, engañan a los usuarios para que entreguen su frase semilla de 24 palabras. Una táctica, vista en Atomic macOS Stealer (AMOS), implica una alerta de seguridad falsa que pide a los usuarios “verificar” su frase semilla. Una vez escrita, se envía directamente a los hackers.

El cambio comenzó con el malware “Odyssey” de un hacker llamado Rodrigo. Según Moonlock, desde marzo de 2025, Odyssey ha eludido las defensas de Ledger Live con una página de phishing que insta a los usuarios a ingresar su semilla para solucionar un “error crítico”.

El método de Rodrigo desencadenó una reacción en cadena. Otro hacker, @mentalpositive, afirmó que su malware ahora incluye un módulo “anti-Ledger”. Pero dos muestras de su código no mostraron cambios mayores, solo una nueva dirección de servidor y un cambio de nombre de “JENYA” a “SHELLS”.

Mientras tanto, una nueva campaña descubierta por Jamf Threat Labs involucró un instalador de Mac indetectable que carga una interfaz falsa de Ledger Live. El ladrón silenciosamente roba contraseñas, archivos y datos de la billetera utilizando una combinación de Python y AppleScript.

AMOS también ha adoptado el esquema de phishing de Rodrigo. Las víctimas son engañadas para lanzar un archivo terminal que elude los controles de seguridad de Apple, permitiendo que se ejecute el malware. Si detecta un sistema real, no uno virtual, envía archivos y credenciales robadas —incluyendo datos de Binance y TonKeeper— a un servidor remoto.

Con más hackers copiando este enfoque, se insta a los usuarios de criptomonedas a evitar ingresar frases de semillas en aplicaciones o ventanas emergentes.