El phishing de Trezor muestra que los atacantes pueden omitir el dispositivo y dirigirse a la capa de confianza humana
- Trezor indica que los hackers comprometieron un proveedor de correo electrónico de terceros para enviar alertas de seguridad falsas, mientras que sus carteras y dispositivos permanecieron intactos.
- Los correos electrónicos de phishing parecían provenir de la infraestructura legítima de Trezor y afirmaban falsamente que una vulnerabilidad en STM32 podría debilitar las frases de recuperación de los usuarios.
- El ataque pone de manifiesto cómo los datos filtrados de clientes y los proveedores de servicios comprometidos pueden permitir ataques de phishing convincentes incluso cuando las carteras de hardware siguen siendo seguras.
Trezor alertó a los usuarios el miércoles 9 de septiembre de 2026, sobre hackers que explotaban su proveedor de correo electrónico de terceros para distribuir un aviso de seguridad falso. Sin embargo, la billetera Trezor no se vio afectada por el ataque. Los criminales se dirigieron a algo aún más difícil de proteger que un software: la confianza de un usuario en un correo electrónico de un proveedor de confianza.
El asunto del aviso decía lo siguiente: «Alerta de Seguridad Crítica: Vulnerabilidad de Entropía STM32». El mensaje indicaba que los ingenieros de Trezor habían descubierto un defecto de diseño en los chips STM32 utilizados en sus productos. Decrypt informó que Trezor reconoció el mensaje como falso y advirtió a los lectores que no hicieran clic en los enlaces.
Un defecto falso enviado desde una dirección real
Lo que hizo efectiva la campaña no fue la vulnerabilidad fabricada, sino la forma en que se recibió el correo electrónico. Un destinatario reveló que el correo electrónico provenía de [email protected], seguía la ruta de la campaña Sendinblue y superaba las verificaciones DKIM, SPF y DMARC.
La alerta especificaba que uno de cada cuatro dispositivos podría verse comprometido y que las frases de recuperación podrían no tener suficiente aleatoriedad o entropía. Este lenguaje se asemejaba mucho a los problemas descritos en el reciente ataque a Coldcard.
Trezor informó que detuvo el dominio utilizado para enviar las alertas y comenzó a investigar cómo los estafadores lograron utilizar su infraestructura de envío legítima. La alerta pública de la empresa se emitió justo después de las 4:30 p. m. hora del este del 9 de septiembre, solo unas horas después de que sus usuarios comenzaran a señalar los correos electrónicos.
La brecha puede extenderse más allá de Trezor
Según Nick Neuman, cofundador y CEO de Casa, parece haber una tendencia similar entre los usuarios de BitBox y es posible que se haya producido una brecha en un proveedor de correos electrónicos de marketing común.
Ese es el problema mayor. Los fabricantes de billeteras pueden hacer sus dispositivos más seguros, pero su marca aún puede ser robada a través de medios que no gestionan completamente, desde proveedores de servicios de correo electrónico hasta empresas de envío y procesadores de pagos.
Las brechas de datos no son exploits de dispositivos
En un informe anterior de Cryptopolitan, se reveló que los intentos de phishing contra los usuarios de Ledger también han llegado al correo físico. Sin embargo, cabe señalar que estos casos son diferentes a los de exploits de dispositivos, ya que una brecha de datos compromete la identidad y la información de contacto, mientras que un exploit de dispositivo también puede poner en riesgo los activos financieros.
Los ataques a las billeteras de hardware ocurridos en 2026 dejan clara esta distinción. SafePal admitió que hubo un error de autorización en uno de sus plugins de seguimiento de pedidos que llevó a la exposición de datos de aproximadamente 39.798 clientes, y que las frases semilla, las claves privadas y las credenciales de billetera de estos clientes no se vieron comprometidas.
La brecha de ShipMonk de Trezor finalmente aumentó el número de clientes afectados a 80.689 después de que la empresa supiera que los registros de pedidos antiguos de EE. UU. que datan de 2019 a 2021 también se almacenaron y expusieron. De manera similar, en enero, el incidente de Global-e de Ledger también vio la exposición de los detalles del pedido y la información de contacto de sus clientes, sin que se revelara el número exacto de clientes.
En su comparación de agosto, Memeburn clasificó correctamente a Ledger, Trezor y SafePal bajo «brechas de datos» mientras identificaba a Coldcard como un «exploit de dispositivo». La cifra de 13.689 mencionada por Memeburn en referencia a Trezor, sin embargo, es anterior a la actualización de Trezor del 4 de septiembre.
Coldcard se distingue del resto. Según Galaxy Research del 14 de agosto, confirmó 190 víctimas directamente, así como más de 86.000 direcciones afectadas y al menos $112,7 millones en 1.778,84 BTC robados debido a fallos en el firmware. Otras estimaciones situaban la posible pérdida cerca de los $130 millones.
El contexto filtrado alimenta el phishing industrializado
El peligro en una lista de envíos filtrada es lo que sucede después. Chainalysis estimó que los estafas y fraudes de criptomonedas robaron $17 mil millones en 2025, mientras que los estafas de suplantación de identidad crecieron más del 1.400 % interanual. También descubrió que las estafas con enlaces en cadena a proveedores de IA generaron 4,5 veces más ingresos por operación que aquellas sin dichos enlaces.
Un registro de compra de una billetera de hardware puede convertirse por tanto en un archivo de segmentación. Un nombre emparejado con un correo electrónico, número de teléfono, dirección residencial y la confirmación de que alguien posee un dispositivo de seguridad de criptomonedas da a los criminales el contexto para redactar correos electrónicos convincentes, llamadas, cartas o incluso acercamientos físicos.
La lección del último incidente de Trezor no es que las billeteras de hardware hayan fallado. Es que el perímetro de seguridad ahora incluye los sistemas que las rodean, y los atacantes cada vez solo necesitan un mensaje con apariencia de confianza para romperlo.
Las mentes más inteligentes del mundo cripto ya leen nuestro boletín. ¿Quieres unirte? Únete a ellos.
Preguntas frecuentes
¿Se vio realmente comprometido el hardware de Trezor o la frase de recuperación?
No. Trezor afirmó que el correo electrónico era un intento de phishing enviado a través de un proveedor de correo electrónico de terceros vulnerado, y que la supuesta vulnerabilidad de hardware STM32 era falsa; la seguridad del dispositivo no se vio afectada.
¿Cómo lograron los correos electrónicos falsos evadir los filtros de spam?
Según un informe de usuario citado por Decrypt, el mensaje parecía provenir de [email protected] y superó las verificaciones de autenticación DKIM, SPF y DMARC porque los atacantes lo enviaron a través de la ruta legítima de envío de correos de Trezor, en lugar de suplantar su identidad desde fuera.
¿La campaña de phishing afectó solo a los usuarios de Trezor?
El CEO de Casa, Nick Neuman, dijo en X que los usuarios de BitBox reportaron los mismos correos electrónicos y que un proveedor de correo electrónico compartido para marketing probablemente había sido comprometido, lo que sugiere que la campaña se extendió más allá de Trezor.
Descargo de responsabilidad. La información proporcionada no constituye asesoramiento financiero. Cryptopolitan.com no asume ninguna responsabilidad por las inversiones realizadas basándose en la información proporcionada en esta página. Recomendamos encarecidamente realizar una investigación independiente y/o consultar con un profesional calificado antes de tomar cualquier decisión de inversión.
Micah Abiodun
Micah Abiodun aprovecha su Maestría en Ingeniería y Gestión Ambiental (MSc) de la Universidad Tecnológica de Tallinn (TalTech) para perfeccionar noticias sobre contenido y predicciones de precios en Cryptopolitan. Ahora en su séptimo año en el espacio de medios cripto, cubre las principales criptomonedas, altcoins, DeFi, stablecoins, tendencias macroeconómicas y tecnologías emergentes.
