La compañía implementa ERC-7730 para que sus hardware wallets muestren qué acción ejecutará realmente una transacción antes de autorizarla, una capa de seguridad diseñada para reducir los riesgos de interfaces comprometidas y ataques de phishing
Proteger las claves privadas no siempre significa saber exactamente qué se está autorizando.
Ese es uno de los problemas que durante años ha acompañado al uso de hardware wallets cuando interactúan con aplicaciones descentralizadas y contratos inteligentes. El dispositivo puede mantener las claves privadas aisladas, pero el usuario termina en ocasiones confirmando datos difíciles de interpretar mientras confía en que la información mostrada en el ordenador corresponde realmente con la operación que va a ejecutar.
Trezor quiere reducir ese punto ciego con la implementación de Clear Signing en sus hardware wallets.
La compañía ha anunciado la activación del estándar ERC-7730, que permite traducir los datos de una operación con un contrato inteligente a información comprensible y mostrarla directamente en la pantalla del dispositivo antes de solicitar la firma.
En lugar de enfrentarse a datos hexadecimales o mensajes poco descriptivos, el usuario puede comprobar qué acción está autorizando, qué tokens están involucrados, qué cantidad se utilizará y cuál es el destino de la operación.
La filosofía puede resumirse en una idea sencilla: entender antes de firmar.
Proteger las claves no basta si el usuario no sabe qué está firmando
Cuando un usuario interactúa con una aplicación descentralizada, la interfaz utilizada en el ordenador puede mostrar una descripción aparentemente sencilla de la operación.
Por debajo existe, sin embargo, otra realidad.
El contrato inteligente recibe calldata, información que codifica la función que debe ejecutarse y sus parámetros. Para un usuario resulta prácticamente imposible interpretar directamente esos datos.
La documentación de Ethereum sobre ERC-7730 reconoce precisamente este problema: muchas hardware wallets han terminado mostrando calldata en hexadecimal o recurriendo a la denominada firma ciega, obligando al usuario a aprobar una operación que no puede interpretar de forma significativa.
Esto introduce una paradoja de seguridad.
La clave privada puede estar perfectamente protegida dentro del dispositivo, pero la decisión humana de utilizar esa clave puede estar basada en información procedente de una pantalla potencialmente comprometida.
Anderson Guimarães, Firmware Product Manager de Trezor, lo resume así:
“Una hardware wallet siempre ha protegido tus claves. Lo que no protegía era la decisión de firmar”.
Qué cambia con ERC-7730
ERC-7730 proporciona un formato estandarizado para describir qué significan las llamadas realizadas a las funciones de un contrato inteligente. Ethereum lo define mediante archivos JSON que permiten convertir información difícil de interpretar en una representación comprensible para el usuario.
La implementación realizada por Trezor utiliza estos descriptores para interpretar los datos de la transacción y mostrar el resultado en la pantalla del propio dispositivo.
Así, el usuario podría visualizar una acción como “Swap” o “Approve”, identificar los activos involucrados y comprobar cantidades correctamente expresadas, en lugar de tener que interpretar los datos originales.
La diferencia resulta especialmente importante desde el punto de vista de la seguridad.
Si una web o aplicación comprometida muestra en el ordenador una operación diferente de la que realmente se está preparando para firmar, la hardware wallet puede presentar al usuario los datos que corresponden a la transacción que recibirá la blockchain.
Si ambas informaciones no coinciden, el usuario puede rechazarla.
Según Trezor, Clear Signing funcionará a través de Trezor Suite, WalletConnect y Trezor Connect sin necesidad de activar una nueva configuración.
El hack de Bybit mostró las consecuencias de firmar lo que no se ve
Uno de los casos que permite comprender la dimensión del problema ocurrió en febrero de 2025.
Bybit perdió aproximadamente 1.460 millones de dólares después de que fuera comprometida una de sus wallets multifirma de Ethereum. Los atacantes consiguieron que los firmantes autorizaran una operación maliciosa mientras la interfaz utilizada para gestionar la transacción mostraba información manipulada.
Las investigaciones forenses posteriores situaron el origen del incidente en el compromiso de las credenciales de un desarrollador de Safe. Esto permitió acceder a infraestructura de Safe{Wallet} e introducir código JavaScript malicioso, mientras los análisis no encontraron evidencias de que la infraestructura de Bybit hubiera sido comprometida.
El incidente provocó pérdidas cercanas a los 1.500 millones de dólares y se convirtió en uno de los mayores robos registrados en la historia del sector cripto.
El caso ilustra precisamente el tipo de riesgo que Clear Signing pretende reducir: que una interfaz comprometida presente al firmante una información diferente de la operación que realmente está autorizando.
Eso no significa que pueda afirmarse que ERC-7730 habría impedido necesariamente el ataque a Bybit. Las circunstancias de un incidente de esta complejidad incluyen diferentes capas de seguridad y compromiso.
Pero sí pone de manifiesto una debilidad fundamental: una firma criptográficamente válida puede autorizar una operación que el usuario nunca tuvo intención de realizar.
Un estándar abierto en lugar de una solución propietaria
Otra característica relevante de ERC-7730 es su carácter abierto.
El sistema necesita descripciones que permitan a las wallets interpretar las funciones de los diferentes contratos inteligentes. Si cada fabricante construyera su propia base de datos privada, aparecerían sistemas cerrados que tendrían que actualizarse continuamente y cuya interpretación dependería del proveedor.
ERC-7730 plantea una alternativa basada en un formato común y verificable.
Para Trezor, esta característica encaja además con su estrategia histórica de mantener abierto el código relacionado con sus dispositivos.
La compañía asegura que tanto la interpretación de ERC-7730 como la lógica utilizada para presentar las operaciones son open source, permitiendo que desarrolladores y especialistas en seguridad puedan auditar el funcionamiento.
De Aave a Tether
La utilidad de Clear Signing dependerá, sin embargo, de una variable fundamental: cuántos contratos dispongan de descriptores ERC-7730.
Según Trezor, su implementación funciona actualmente con los contratos disponibles en el registro del estándar y permite interactuar de forma comprensible con protocolos y servicios como 1inch, Aave, Lido, Tether, LiFi o Hyperliquid, entre otros.
La cobertura debería aumentar a medida que nuevos proyectos publiquen sus propios descriptores.
Esta dependencia explica por qué la adopción del estándar no es únicamente un problema de los fabricantes de wallets. Los propios protocolos deben participar describiendo sus contratos para que los dispositivos puedan interpretar correctamente las operaciones.
Clear Signing tampoco hace infalible una hardware wallet
La incorporación de ERC-7730 supone una mejora de seguridad, pero no elimina todos los riesgos asociados a la firma de transacciones.
En primer lugar, la protección depende de que el contrato con el que interactúa el usuario disponga de la información necesaria para ser interpretado.
Trezor reconoce que, cuando un contrato no está incluido en el registro, el dispositivo vuelve al mecanismo convencional de advertencia de firma ciega.
Existe además un segundo elemento que ninguna tecnología puede eliminar completamente: el usuario tiene que comprobar la información.
Clear Signing no bloquea automáticamente todas las operaciones maliciosas. Su objetivo es proporcionar al usuario información suficientemente clara para detectar que lo que está a punto de autorizar no coincide con lo que pretendía hacer.
Por tanto, sigue siendo necesario comprobar cantidades, activos, acciones y destinos antes de confirmar una operación.
De proteger la clave a proteger la decisión
Durante buena parte de la historia de la autocustodia, la seguridad de las hardware wallets se ha concentrado en resolver un problema fundamental: mantener las claves privadas fuera del alcance de un ordenador potencialmente comprometido.
El crecimiento de DeFi y de los contratos inteligentes ha añadido una segunda cuestión.
No basta con proteger la clave utilizada para firmar. También hay que entender qué se está firmando.
ERC-7730 intenta cubrir precisamente ese espacio entre la seguridad criptográfica del dispositivo y la decisión que toma la persona situada delante de su pantalla.
La adopción todavía dependerá de que más protocolos publiquen descriptores y más wallets incorporen el estándar. Pero el cambio conceptual resulta significativo.
La pantalla de una hardware wallet deja de limitarse a preguntar al usuario si quiere firmar una operación.
Empieza a poder explicarle qué operación está a punto de firmar.