Diez años de ahorros en Bitcoin. Desaparecidos en treinta segundos.
Garrett Dutton — conocido como G. Love, frontman de G. Love & Special Sauce — perdió 5,92 BTC el 11 de abril de 2026. Sin ningún exploit técnico, sin ningún bug de Ledger. Solo una aplicación falsa descargada desde el Apple Mac App Store, convencido de que era la oficial.
Cómo Ocurrió el Robo de Bitcoin
G. Love estaba migrando su wallet a un nuevo computador Apple. Buscó "Ledger Live" en el App Store y encontró una app que parecía completamente oficial: buenas capturas de pantalla, íconos correctos, buenas reseñas. La descargó. Al primer inicio, la app le pidió las 24 palabras de su seed phrase para "restaurar el dispositivo". Él las introdujo.
En ese instante, alguien al otro lado del mundo obtuvo control total sobre todo su Bitcoin.
I had a really tough day today I lost my retirement fund in a hack/Scam when I switched my @Ledger over to my new computer and by accident downloaded a malicious ledger app from the @Apple store. All my BTC gone in an instant.
— G. Love (@glove) April 11, 2026
ZachXBT Rastrea los Fondos Robados
En las horas siguientes, el investigador on-chain ZachXBT rastreó el recorrido de los fondos: 5,92 BTC movidos a través de nueve transacciones distintas, todos dirigidos hacia direcciones de depósito de KuCoin.
"Rastreé tus 5,92 BTC robados: todos fueron lavados a través de direcciones de depósito de @kucoincom."
— ZachXBT (@zachxbt), 12 de abril de 2026
Las posibilidades de recuperación son prácticamente nulas. KuCoin perdió su licencia MiCA europea en febrero de 2026 — apenas tres meses después de haberla obtenido en Austria — y según ZachXBT, el exchange sigue siendo aprovechado por servicios ilícitos sin una respuesta adecuada. No es un caso aislado: en 2025 las pérdidas por phishing de firma digital se dispararon un 207%, una señal inequívoca de que el sector se ha convertido en el blanco favorito de los estafadores profesionales.
Para los usuarios en América Latina, esta situación es especialmente relevante: KuCoin es uno de los exchanges más utilizados en la región para comprar y transferir criptomonedas, incluidas remesas en USDT. La pérdida de su licencia europea y su presencia en investigaciones como esta son señales de alerta que no deben ignorarse.
Apple Guarda Silencio: el App Store Bajo Acusación
La app estaba registrada a nombre de un desarrollador externo, no de Ledger SAS, y aun así superó el proceso de revisión del App Store. Apple no emitió ningún comunicado oficial, no confirmó si la app fue eliminada y, según ZachXBT, habría incluso intentado obstaculizar los esfuerzos por documentar el incidente públicamente.
"Parece que Apple no quiere que la gente documente el hecho de que permite apps falsas en su App Store."
— ZachXBT (@zachxbt), 12 de abril de 2026
No es el primer caso. En 2023, una app falsa de Ledger en el Microsoft Store causó casi 600.000 dólares en pérdidas. Misma dinámica, misma negligencia de las plataformas. La pregunta que queda sin respuesta es cuándo los grandes ecosistemas tecnológicos van a asumir responsabilidad real por lo que publican.
La Regla de Oro para tu Hardware Wallet
Ledger lo repite desde hace años: Ledger Live solo existe en ledger.com. Nunca en los app stores. La seed phrase únicamente se introduce en el dispositivo físico — jamás en una app, jamás en un navegador, jamás en una pantalla de computador. Si una aplicación te la solicita en pantalla, es una estafa. Sin excepciones.
Beau, responsable de seguridad de Pudgy Penguins, lo escribió pocas horas después de que la noticia se difundiera: no importa cuán profesional parezca la interfaz. Un dispositivo conectado a internet que pide tus 24 palabras ya está comprometido.
- Descarga Ledger Live solo desde ledger.com, nunca desde tiendas de aplicaciones.
- Tu seed phrase nunca debe digitarse en ningún dispositivo conectado a internet.
- Si una app te pide las 24 palabras, ciérrala de inmediato y revisa tu wallet.
- Verifica siempre el nombre del desarrollador antes de instalar cualquier app financiera.
Si tienes un hardware wallet y todavía no tienes claro el límite entre hot y cold storage, esta guía te ayuda a entender por dónde empezar. No es conocimiento avanzado — es la base de cualquier estrategia de seguridad cripto.
G. Love cerró el episodio con una dignidad poco común: "Es mi culpa por no haber sido suficientemente diligente. Pero que sirva de advertencia. Hay tantas estafas ahí fuera."
Mientras X intenta bloquear las nuevas cuentas cripto en su primer post para frenar el phishing, casos como este recuerdan que la verdadera vulnerabilidad casi nunca es técnica. Es humana.
