• Trezor confirmó la presencia de un implante sospechoso en una Safe 5 comprada a través de CryptoBilis y denunciada el 28 de octubre.
• El implante sospechoso contenía un módulo celular y una antena entre la placa principal y la pantalla de la Safe 5.
• Trezor indicó a los compradores de CryptoBilis desde marzo de 2026 que trasladaran sus fondos a billeteras con frases de recuperación nuevas.
Un implante sospechoso lee la frase de recuperación de la Safe 5
Se ha denunciado la presencia de un componente electrónico presuntamente malicioso dentro de una Trezor Safe 5 comprada a través de la plataforma de comercio electrónico Tokopedia al antiguo distribuidor autorizado CryptoBilis. Trezor publicó su confirmación en una entrada oficial de su blog: un usuario de Indonesia dio la voz de alarma a través del canal de divulgación de vulnerabilidades de la empresa el 28 de octubre de 2026 y describió un dispositivo comprado en agosto de 2026. Según la denuncia, se instaló una placa de circuito adicional entre la placa principal y la pantalla, equipada con un módulo de comunicaciones celulares y una antena. La presunta vía de ataque se activa durante la configuración inicial: cuando la pantalla muestra la frase de recuperación que respalda las claves privadas de una billetera de criptomonedas, el implante leería lo que aparece en ella y enviaría el texto al atacante a través de una red móvil. Una frase completa filtrada permitiría a un atacante restaurar la billetera en otro dispositivo y tomar el control de los activos. Trezor subraya que estos detalles se basan en las fotografías, la explicación y una entrevista en video de la persona que presentó la denuncia, y que aún no se han verificado en su laboratorio. Al 1 de noviembre, el análisis forense de la unidad sospechosa está incompleto y no se han denunciado robos de activos relacionados con ella. La advertencia sigue abarcando a todos los compradores que adquirieron una Trezor a través de CryptoBilis desde marzo de 2026: deben trasladar sus fondos a una billetera creada con una frase de recuperación completamente nueva, y Trezor ofrece un dispositivo de reemplazo gratuito o un vale de compra. Nunca se debe cargar la frase antigua en un dispositivo nuevo: los fondos deben transferirse a la dirección de una billetera de criptomonedas nueva. Las unidades de ese canal que no se hayan inicializado no deben configurarse en absoluto. La empresa también recomienda a los usuarios que no abran los dispositivos ni los pesen, ya que las diferencias de peso son demasiado pequeñas para detectar de manera fiable una manipulación.
El canal CryptoBilis afectó primero a Ledger
CryptoBilis estaba en el centro de un caso de cadena de suministro ya confirmado antes de que Trezor recibiera su propio informe. La empresa era revendedora autorizada tanto de Ledger como de Trezor en los mercados del sudeste asiático, y en octubre de 2026 ese acuerdo se vino abajo para ambas marcas. Ledger comenzó a investigar los robos de dispositivos vendidos a través del canal el 9 de octubre y posteriormente confirmó que algunas unidades genuinas tenían implantes de hardware no autorizados. Analistas de la cadena de bloques habían estimado antes que las pérdidas por los robos de la cadena de suministro vinculados a Ledger superaban los 86 millones de dólares, aunque Ledger no ha confirmado esa cifra como total definitivo. Trezor revocó la autorización de CryptoBilis como revendedor ese mismo 9 de octubre, antes de que aparecieran pruebas de que algún dispositivo Trezor hubiera sido modificado, y OneKey también puso fin a su colaboración con el revendedor, suspendiendo nuevas autorizaciones y ofreciendo alternativas de reemplazo. Hasta ahora, Trezor ha inspeccionado cuatro dispositivos vendidos a través del canal —un Safe 7, dos unidades Safe 5 y un Safe 3— y no encontró indicios de modificaciones físicas en ninguno. Sin embargo, esos cuatro no incluyen el Safe 5 cuyo caso se informó el 28 de octubre, que la empresa está organizando enviar a un laboratorio para determinar si el circuito adicional está presente y puede capturar una frase de recuperación. No se ha anunciado una fecha para el próximo informe de la investigación. El director comercial, Danny Sanders, ha dicho que la empresa prefiere advertir a los usuarios antes de que concluyan los análisis forenses, en lugar de esperar a que ocurra un robo. Trezor no informa de pérdidas confirmadas entre los clientes de CryptoBilis, y el usuario indonesio transfirió sus activos a otro lugar antes de descubrir el hardware sospechoso. Como Trezor opera con un modelo de autocustodia, no puede inspeccionar directamente los saldos de los usuarios, por lo que no puede descartar pérdidas que no se hayan denunciado. Trezor también advierte que los atacantes podrían aprovechar el incidente para enviar correos electrónicos, cartas y hacer llamadas de suplantación del servicio de asistencia oficial, con el fin de engañar a los usuarios para que revelen su frase de recuperación.
El caso muestra dónde reside ahora el riesgo de las billeteras de hardware. Los algoritmos de claves privadas, los elementos seguros y el firmware de un dispositivo pueden estar intactos mientras un implante físico extrae secretos durante la configuración; además, el embalaje de fábrica, los sellos y la verificación del firmware no impiden por sí solos la manipulación antes de la entrega. La decisión de Trezor de recomendar la migración antes de que concluyan los análisis forenses es inusual, dado que no hay pérdidas confirmadas, pero los implantes confirmados de Ledger en el mismo canal le dan una base concreta a la advertencia, que alimentará el FUD de seguridad en todo el sector de las billeteras frías. Siguen abiertas dos preguntas: aún no hay pruebas de que los implantes de Ledger y Trezor procedan del mismo atacante, y no se ha identificado en qué punto de la cadena logística o de ventas se produjo la modificación. No se ha establecido ningún punto de control en esa secuencia donde todavía pueda detenerse el ataque.