El fabricante de monederos hardware Trezor ha confirmado una filtración de datos de casi 14 000 clientes. El incidente no se produjo en la infraestructura de Trezor, sino en la de su socio logístico ShipMonk, responsable del envío de los dispositivos. Se han visto comprometidos los nombres completos, direcciones de correo electrónico, teléfonos y direcciones de entrega de 11 742 compradores; en el caso de otras 1 947 personas se filtraron los nombres, el correo electrónico y los datos de la ciudad de residencia. Se han visto afectados clientes de siete países —Estados Unidos, Reino Unido, Suecia, Colombia, Brasil, Italia y Portugal— que recibieron pedidos en el período del 10 de mayo al 8 de agosto de 2026. Trezor advierte de una alta probabilidad de ataques de phishing utilizando los datos robados.
Cronología y alcance del incidente
Según el comunicado oficial de Trezor, los atacantes obtuvieron acceso a los datos de los pedidos a través de los sistemas de ShipMonk. La empresa dividió a los afectados en dos grupos según el grado de exposición de la información:
- 11 742 clientes — compromiso completo: nombres, direcciones de correo electrónico, números de teléfono y direcciones físicas de entrega;
- 1 947 clientes — compromiso parcial: nombres, direcciones de correo electrónico e información sobre la ciudad.
El período de compromiso abarca los pedidos entregados entre el 10 de mayo y el 8 de agosto de 2026. Trezor subraya que la infraestructura propia de la compañía no fue atacada, que todos los servicios funcionan con normalidad y que los monederos hardware siguen protegidos: las claves criptográficas y las frases semilla de los usuarios no se han visto afectadas.
Vector de ataque presunto
Trezor no revela los detalles técnicos de la brecha en ShipMonk. Sin embargo, según BleepingComputer, los clientes de ShipMonk afectados recibieron notificaciones en las que se señalaba como causa del incidente una vulnerabilidad en la plataforma analítica de terceros Metabase. Según se informa, el 6 de agosto representantes de Metabase notificaron a ShipMonk que unos atacantes desconocidos habían aprovechado una vulnerabilidad para acceder a datos de clientes. Tras su detección, Metabase supuestamente corrigió la vulnerabilidad y anuló todas las sesiones activas, mientras que ShipMonk recurrió a especialistas externos en seguridad de la información para investigar lo ocurrido.
Cabe señalar que la vinculación del incidente con una vulnerabilidad concreta de Metabase se basa en fuentes secundarias y no ha sido confirmada en la declaración oficial de Trezor. El identificador CVE de la vulnerabilidad presunta no se menciona en la información disponible.
Riesgo de ataques de phishing
La principal amenaza para los afectados es el phishing dirigido. Trezor advierte claramente a sus clientes:
«Los estafadores pueden utilizar la información comprometida para enviar correos electrónicos y mensajes falsos, realizar llamadas telefónicas y hacerse pasar por representantes de bancos, casas de cambio de criptomonedas o incluso de la propia Trezor».
El conjunto de datos filtrados —nombre, dirección de correo electrónico, teléfono y dirección física— crea unas condiciones ideales para llevar a cabo ataques de ingeniería social muy convincentes. Los atacantes pueden redactar mensajes personalizados haciendo referencia al hecho real de la compra de un dispositivo Trezor, lo que aumenta significativamente la probabilidad de éxito del phishing. En el caso de los propietarios de monederos hardware, el objetivo final de este tipo de ataques es evidente: obtener la frase semilla, que otorga control completo sobre los fondos.
Un problema recurrente: ataques a través de terceros
Se trata ya de la segunda filtración de datos de clientes de Trezor en los últimos dos años que se produce a través de un proveedor externo. En enero de 2024, los atacantes obtuvieron acceso a un portal de soporte técnico de terceros utilizado por la compañía. En aquella ocasión se vieron comprometidos los datos de 66 000 usuarios que habían contactado con el soporte desde diciembre de 2021: nombres, nombres de usuario y direcciones de correo electrónico. Posteriormente, Trezor confirmó que la información robada se utilizó en campañas de phishing dirigidas a robar frases semilla.
El patrón es evidente: pese a un alto nivel de protección de su propia infraestructura, el eslabón débil de Trezor sigue siendo la cadena de proveedores. Una situación similar se observa en otros sectores: la brecha de seguridad de socios logísticos y de servicio se está convirtiendo en un problema sistémico.
Recomendaciones para los afectados
Los clientes de Trezor que realizaron compras entre mayo y agosto de 2026 deberían adoptar medidas de protección concretas:
- No confiar en las comunicaciones entrantes — cualquier correo electrónico, SMS o llamada supuestamente de Trezor, de bancos o de casas de cambio de criptomonedas en la que se solicite proporcionar la frase semilla, una contraseña o hacer clic en un enlace debe considerarse fraudulenta. Trezor nunca solicita la frase semilla;
- Verificar al remitente — ante mensajes sospechosos, contactar con Trezor únicamente a través del sitio web oficial y no mediante enlaces recibidos en los correos;
- Reforzar la protección de las cuentas — activar la autenticación de dos factores en todas las cuentas relacionadas, especialmente en casas de cambio de criptomonedas y servicios de correo electrónico;
- Vigilar la actividad sospechosa — prestar atención a intentos inusuales de inicio de sesión en las cuentas y a solicitudes inesperadas de restablecimiento de contraseña;
- No revelar la posesión de criptomonedas — la filtración de direcciones físicas combinada con la confirmación de que se posee un monedero hardware genera riesgos no solo digitales, sino también físicos.
El incidente de Trezor y ShipMonk vuelve a demostrar que la seguridad de un producto no depende únicamente de la protección que ofrece su fabricante, sino de toda la cadena de suministro. Para los usuarios de monederos hardware, la regla clave sigue siendo invariable: la frase semilla no se comparte con nadie y bajo ninguna circunstancia —ni por correo electrónico, ni por teléfono, ni mediante formularios web—, independientemente de lo convincente que pueda parecer la solicitud.
