Este miércoles, la seguridad en la industria de las criptomonedas vuelve a estar bajo examen, no por fallas en la tecnología criptográfica subyacente, sino por las vulnerabilidades inherentes a la infraestructura digital que rodea a las empresas del sector.
Trezor, una de las firmas pioneras y más respetadas en la fabricación de billeteras de hardware para la autocustodia de activos digitales, ha confirmado en su cuenta de la red social X, un nuevo incidente de seguridad de un servicio de terceros asociado a su empresa.
Our third-party e-mail provider has been breached. Please be aware that the email named ‘Critical Security Alert: STM32 Entropy Vulnerability’ is not coming from us, and it’s a phishing attempt. Do not click on any link.
We have taken down the domain, and we are investigating…
— Trezor (@Trezor) September 9, 2026
Según Trezor, la brecha permitió a un grupo de ciberdelincuentes desplegar una sofisticada campaña de phishing denominada “Critical Security Alert: STM32 Entropy Vulnerability” dirigida a sus usuarios de billeteras electrónicas. Dicho ataque sería el tercer fallo de un proveedor externo asociado a la compañía en un periodo de solo cuatro semanas.
El vector de ataque se activó cuando los ciberdelincuentes vulneraron la infraestructura del proveedor de servicios de correo electrónico de marketing utilizado por Trezor, llegando a tener acceso directo al canal de comunicación y, potencialmente, al uso del dominio legítimo de la empresa para el envío de emails fraudulentos masivos.
Este ciberataque crítico permitió a los estafadores que pudieran enviar masivamente un correo con el asunto «Alerta de seguridad crítica: Vulnerabilidad de entropía STM32», basa el diseño del engaño en la ingeniería social al citar «STM32» —la familia de microcontroladores que utilizan los dispositivos físicos de Trezor—.
Por razones obvias, al alegar en un canal de comunicación legítimo una falla en la «entropía» (el proceso de aleatoriedad matemática fundamental para generar las frases de recuperación o seed phrases), los atacantes apelaron directamente al temor de los usuarios técnicamente informados que pudieran tener grandes cantidades de fondos asegurados en esas billeteras electrónicas.
La premisa del correo era clara en cuanto a incitar “el sentido de urgencia” en las víctimas al pedir “actuar de inmediato o perderán los fondos”, cuyo objetivo final, sin embargo, era el de siempre, el redirigir a las víctimas a un sitio Web clonado para que introdujeran manualmente su frase de recuperación de 12 o 24 palabras.
Trezor reaccionó con rapidez tras detectar la anomalía y desactivó el dominio comprometido que facilitaba el ataque, emitió alertas públicas a través de sus canales oficiales e inició una investigación interna para determinar cómo se obtuvo el acceso no autorizado.
A través de un comunicado, la compañía enfatizó un punto crucial para la tranquilidad de sus usuarios, al señalar que la brecha afectó exclusivamente al sistema de correo del proveedor externo pero que las billeteras físicas, las claves privadas y los respaldos de recuperación jamás estuvieron expuestos ni corrieron peligro técnico dentro del dispositivo.
Este incidente vuelve a poner de manifiesto la vulnerabilidad de las cadenas logísticas y los proveedores de servicios asociados, ya que apenas semanas antes, el 10 de agosto, un incidente de seguridad en ShipMonk —el socio logístico encargado de los envíos de Trezor— resultó en la exposición de datos personales de más de 80.000 clientes.
Esa filtración incluyó nombres completos, números telefónicos, direcciones de correo electrónico y direcciones físicas de residencia por lo que la combinación de ambos eventos dibuja un escenario de riesgo agravado.
Con los datos de residencia e identificación obtenidos en la brecha de ShipMonk, sumados a la capacidad de enviar mensajes fraudulentos desde canales que aparentan ser oficiales, los delincuentes cuentan con un perfil detallado de las víctimas.
Esto habilita campañas de phishing multicanal extremadamente persuasivas, que van desde correos electrónicos hasta mensajes de texto (SMS), llamadas telefónicas e incluso el envío de correspondencia física con dispositivos manipulados.
Our preliminary review of the phishing mail that was sent out to our newsletter subscribers about an hour ago found that it is very likely that our newsletter provider got compromised.
Multiple other Bitcoin companies got targeted as well, and it appears that we all share the…
— BitBox (@BitBoxSwiss) September 9, 2026
Además, el patrón de ciberataque y campaña de Phishing trasciende a Trezor, ya que de forma simultánea, la firma suiza BitBox reportó una campaña de phishing similar dirigida a los suscriptores de su boletín informativo, lo que sugiere un ataque coordinado a escala industrial contra un proveedor de servicios de correo compartido por múltiples empresas del ecosistema Bitcoin y Web3.
El incidente deja al descubierto una paradoja recurrente en el ecosistema de la autocustodia, ya que mientras que el diseño de los chips, el firmware y la arquitectura de seguridad del hardware resisten los embates de los ataques más complejos, la información comercial y operativa almacenada en bases de datos de terceros sigue siendo vulnerable.
Las billeteras frías están diseñadas para operar bajo un principio de cero confianza (zero-trust), sin embargo, hay que comprender que el comportamiento humano y la confianza depositada en la identidad de las marcas constituyen el punto de entrada preferido por los ciberdelincuentes.
Es por ello que, cuando la reputación del remitente se ve comprometida por el fallo de un contratista de un servicio tercerizado, las señales habituales que utilizan los usuarios para detectar una estafa desaparecen y quedan vulnerables.
Ante el incremento de ataques basados en la manipulación de la cadena de suministro, la comunidad de usuarios de hardware wallets debe reforzar de manera estricta sus protocolos de seguridad personal tal y como lo explicó Trezor en una entrada de su Blog en marzo de este año, sobre los “Ataques de phishing y cómo mantener tus criptomonedas seguras”.
No obstante, desde Territorio Bitcoin recomendamos la Regla de Oro de la frase de recuperación: La frase de semilla jamás debe ingresarse en un teclado, sitio Web, formulario en línea, aplicación móvil o archivo de texto.
El único lugar legítimo para introducirla únicamente de forma directa en la pantalla física del dispositivo Trezor, justo durante un proceso de restauración iniciado intencionalmente por el usuario, por lo que no debe haber otro uso para dicha frase.
Se debe mantener un aislamiento de notificaciones: Cualquier comunicación que exija una acción urgente, actualización crítica o verificación de credenciales debe ser ignorada si proviene de un correo electrónico o mensaje de texto.
Las actualizaciones oficiales de firmware solo se gestionan y notifican a través de la aplicación oficial de escritorio Trezor Suite y jamás vendrán a través de un SMS, un correo electrónico, un mensaje de WhatsApp, de Signal, de Telegram y de ningún otro software de mensajería.
El procedimiento ante el compromiso de la frase es clave: Si un usuario cayó en el engaño e introdujo su frase de recuperación en el sitio falso, debe considerar que sus claves han sido expuestas.
La acción inmediata requiere transferir todos los fondos a una billetera temporal segura, reajustar el dispositivo para generar una frase de recuperación totalmente nueva desde cero y migrar nuevamente los activos a las nuevas direcciones.
Vale recordar que la seguridad en la era digital no se limita a la solidez de los algoritmos criptográficos; requiere una vigilancia constante sobre cada punto de interacción entre la empresa, sus proveedores y el usuario final.
La tecnología de almacenamiento en frío de Trezor sigue siendo segura, pero la cautela ante las comunicaciones de terceros se ha convertido en la primera línea de defensa obligatoria.