• Trezor recibió el aviso sobre un implante en un Safe 5 el 28 de octubre y advirtió a sus clientes el 30 de octubre.

• La billetera sospechosa se compró en Tokopedia, Indonesia, en agosto de 2026.

• Trezor retiró a CryptoBilis de su red de distribuidores el 9 de octubre, después de que Ledger confirmara la manipulación.

Sospechan que hay un implante en un Trezor Safe 5

Trezor ha indicado a los clientes que compraron una billetera de hardware a su antiguo distribuidor del sudeste asiático, CryptoBilis, que transfieran sus fondos, tras un informe sobre un presunto implante malicioso dentro de un dispositivo Trezor Safe 5. Según el anuncio publicado en el blog de la empresa el 30 de octubre, la alerta se recibió el 28 de octubre y se refería a una billetera comprada a través de CryptoBilis en Tokopedia, Indonesia, en agosto. El comprador informó que había encontrado una placa de circuito adicional entre la placa principal del dispositivo y la pantalla, equipada con un módulo celular y una antena. Según esa descripción, el hardware podría leer todo lo que aparece en la pantalla, incluida la frase de recuperación generada durante la configuración, y transmitirlo a través de una red móvil cada vez que el dispositivo se conecta a la corriente. Cualquiera que tuviera la frase podría restaurar la billetera en otro dispositivo y vaciarla sin tener la unidad original. Trezor dijo que revisó fotografías y entrevistó al comprador por videollamada, pero que todavía no ha examinado físicamente el dispositivo; su equipo de seguridad está organizando un análisis de laboratorio. La empresa consideró que el informe era lo bastante creíble como para actuar de inmediato. Se recomienda a todas las personas que hayan comprado cualquier modelo de Trezor a CryptoBilis desde marzo de 2026 que transfieran sus fondos a una billetera de criptomonedas recién creada con una frase de recuperación completamente nueva, ya que importar una frase expuesta a otro dispositivo no elimina ningún riesgo, y la frase equivale, en la práctica, a una copia legible de la clave privada de la billetera. Se indicó a los compradores que aún no hayan configurado un dispositivo adquirido que se detengan y que nunca introduzcan una frase existente. Hasta ahora, ningún cliente ha informado de pérdidas de fondos. Trezor ofrece dispositivos de reemplazo o vales para cubrir el costo de una unidad nueva, pidió a los compradores que conservaran su hardware y advirtió que los estafadores podrían aprovechar el incidente mediante correos electrónicos y llamadas falsas. También señaló que abrir o pesar una billetera no permite detectar de forma fiable una manipulación. La respuesta cuenta con el respaldo de SEAL 911, el servicio de emergencia de Security Alliance.

Actualización (30 oct., 08:31 UTC): Los detalles adicionales de la divulgación aclaran cómo salió a la luz la manipulación: el comprador notó una diferencia inusual en el peso del dispositivo y ya había transferido los fondos a otro lugar antes de darse cuenta de que el componente era sospechoso.

Los detalles adicionales de la divulgación aclaran cómo salió a la luz la manipulación: el comprador notó una diferencia inusual en el peso del dispositivo y ya había transferido los fondos a otro lugar antes de darse cuenta de que el componente era sospechoso. Trezor, que no ha recibido el dispositivo, afirmó que se cree que el implante funciona de forma similar al hardware encontrado en el caso confirmado de Ledger. Añadió que no se ha identificado a ningún responsable y que, mientras continúa la investigación, ha evitado comparar ambos incidentes. El informe se presentó a través del canal de divulgación responsable de la empresa. Para los compradores afectados que no tengan a mano una billetera de hardware segura, Trezor también propuso como solución provisional pasar temporalmente a una billetera de software o a un exchange, y reiteró que su personal de soporte nunca pedirá una frase de recuperación.

Arkham rastrea robos por valor de 95,35 millones de dólares

CryptoBilis fue en su día distribuidor autorizado tanto de Trezor como de su principal competidor, Ledger, en el Sudeste Asiático, y el mismo establecimiento está en el centro de un caso confirmado de manipulación. El 9 de octubre, Ledger comenzó a investigar las pérdidas de clientes que habían comprado sus billeteras a través del distribuidor y confirmó posteriormente que un componente no autorizado dentro de los dispositivos afectados podía capturar las frases de recuperación que se mostraban durante la configuración y exfiltrarlas mediante una conexión LTE. El implante funcionaba de manera independiente del chip de seguridad del dispositivo, por lo que la firma normal de transacciones no se veía afectada. Ese mismo día, Trezor eliminó a CryptoBilis de su red de distribuidores y pidió a los clientes que enviaran sus dispositivos para inspeccionarlos; para el 19 de octubre había recibido cuatro unidades —dos dispositivos Safe 5, un Safe 7 y un Safe 3—, ninguna de las cuales presentaba indicios de manipulación física. La nueva divulgación se refiere a otro Safe 5 que no formó parte de esas inspecciones. Los investigadores no han identificado a quién instaló el presunto implante ni si el mismo atacante afectó a ambas marcas. El rastro financiero del caso de Ledger es considerable: el 29 de octubre, Arkham Intelligence rastreó 95,35 millones de dólares en presuntos robos distribuidos entre 1.486 direcciones entre el 7 y el 9 de octubre, y se congelaron aproximadamente 10 millones de dólares en USDT mientras los fondos robados siguen moviéndose por varias redes blockchain. Por separado, la policía de Singapur informó de pérdidas por valor de 3,5 millones de dólares singapurenses en dos casos relacionados con dispositivos Ledger manipulados y comprados en tiendas locales. Trezor ha reducido su lista de distribuidores autorizados y está colaborando con Ledger y otras partes en la investigación. La empresa afirmó que hasta ahora no ha recibido informes relacionados con otros distribuidores y que proporcionará más detalles cuando estén disponibles los resultados del laboratorio.

Análisis de COINOTAG: ambos incidentes apuntan al mismo punto débil: el momento en que se genera una frase de recuperación en un dispositivo comprometido, no el chip de firma en torno al cual está construido. Una puerta trasera en la cadena de suministro elude todas las protecciones del dispositivo porque el secreto sale a través de la pantalla; por eso, incluso una billetera fría comprada correctamente puede fallarle a su dueño si se adquiere a un vendedor no verificado. La decisión de Trezor de advertir a los clientes antes de la confirmación del laboratorio se debe a que compartía distribuidor con Ledger en un caso confirmado de manipulación; la fecha límite de marzo de 2026 es una medida preventiva, no una prueba de que todas las unidades vendidas estén afectadas. Ahora importan tres cosas: el examen de laboratorio del Safe 5 denunciado, si los investigadores vinculan al atacante con el caso de Ledger y si se emiten nuevas advertencias regionales sobre distribuidores. Quienes estén sopesando sus opciones de almacenamiento pueden empezar por repasar cómo funcionan las billeteras de hardware antes de mover sus fondos (a las 08:31 UTC).