Filtración de datos de Trezor: ¿estoy afectado y qué debo hacer ahora?

Saber si estás afectado por la filtración de datos de Trezor depende de una sola pregunta: ¿hay en tu buzón un correo de help@trezor.io sobre el incidente? Trezor afirma que avisa individualmente a cada persona afectada. Quien no haya recibido ese mensaje no figura, según el fabricante, en los registros expuestos.

El 4 de septiembre de 2026, Trezor amplió el incidente por segunda vez. A los 13.689 clientes comunicados en agosto se suman unas 67.000 personas más en Estados Unidos, es decir, algo más de 80.000 personas en total. Quedaron expuestos el nombre completo, la dirección de entrega, el número de teléfono, la dirección de correo electrónico y el número de pedido. No quedaron expuestos el contenido de los paquetes, los propios dispositivos, las claves privadas ni las copias de seguridad de las carteras.

Este artículo responde a la pregunta que hay detrás del titular y que hasta ahora nadie había respondido en alemán: si la clientela alemana aparece siquiera en esta segunda oleada, cómo comprobarlo y qué significa una agenda de direcciones abierta para quien custodia él mismo sus criptoactivos.

¿Estoy afectado por la filtración de datos de Trezor? La comprobación dura dos minutos

Trezor ha elegido la misma vía para ambas oleadas: los afectados son informados directamente por correo electrónico, con remitente help@trezor.io. La frase aparece literalmente en la entrada del blog dedicada al incidente y vale en los dos sentidos. Ningún correo procedente de esa dirección significa, según la exposición del fabricante, que no estás afectado.

La notificación distingue a su vez dos niveles. En caso de exposición completa están afectados el nombre, la dirección de correo, el número de teléfono y la dirección de entrega. En caso de exposición parcial son solo el nombre, la ciudad y la dirección de correo, y falta la dirección postal exacta. Cuál de los dos niveles te alcanza consta en el correo. No es una formalidad: una dirección postal expuesta pesa bastante más que una ciudad expuesta.

Y si no estás seguro del correo

Justo aquí empieza el riesgo verdadero. Una filtración de datos sobre la que se informa públicamente es una invitación para los estafadores, porque en este momento miles de personas esperan un correo de aviso. Comprueba por eso la dirección del remitente carácter por carácter, no abras ningún archivo adjunto y no sigas ningún enlace del mensaje. Si quieres saber si un mensaje es auténtico, abre tú mismo la web de Trezor desde la barra de direcciones de tu navegador y busca allí la entrada sobre el incidente. La vía de la barra de direcciones es la única que un atacante no puede falsificar.

Qué se expuso en ShipMonk y qué no

ShipMonk es un proveedor logístico, es decir, una empresa que almacena la mercancía de un fabricante, prepara los pedidos y los envía a la clientela. Para esa tarea, un proveedor así necesita exactamente los datos que ahora se han filtrado: nombre, dirección de entrega, número de teléfono para el repartidor, dirección de correo y número de pedido. Trezor describe a ShipMonk como uno de sus socios de envío para Estados Unidos, el Reino Unido y otros países.

El 10 de agosto de 2026, ShipMonk comunicó al fabricante un acceso no autorizado a sistemas con datos de clientes. Trezor hizo público el incidente el 13 de agosto. Lo que expresamente no resultó afectado es la parte más importante de la información: los sistemas de Trezor no fueron comprometidos, según la empresa, los dispositivos son seguros y las claves privadas y las copias de seguridad de las carteras permanecen intactas. El contenido de los paquetes tampoco aparece en los datos. Un atacante sabe, por tanto, que un pedido fue a una dirección determinada, pero no qué dispositivo había dentro ni cuánto hay hoy en él.

Por qué te afecta igualmente si practicas la autocustodia

Una cartera de hardware es un dispositivo que mantiene tus claves privadas permanentemente fuera de línea y firma las transacciones solo tras una confirmación en el propio aparato. Eso lo convierte en la herramienta estándar de la autocustodia, y arrastra un efecto secundario inevitable: sigue siendo un producto físico. Quien lo compra tiene que hacérselo entregar y deja en ello nombre, dirección y número de teléfono en al menos un intermediario. Ese es exactamente el rastro que se ha expuesto aquí. Si ahora mismo estás sopesando qué dispositivo y qué vía de compra te conviene, la comparativa de carteras de hardware ayuda en la elección. Desde este incidente, el rastro de datos que deja el pedido forma parte de los criterios que entran en esa decisión.

Por qué Alemania no figura en ninguna de las dos listas de afectados

Trezor menciona los países afectados en ambas oleadas, y el resultado es inequívoco para los lectores alemanes. La primera oleada afectó a pedidos procedentes de Estados Unidos, el Reino Unido, Suecia, Colombia, Brasil, Italia y Portugal, entregados entre el 10 de mayo y el 8 de agosto de 2026. La segunda oleada afecta exclusivamente a clientela de Estados Unidos, según el fabricante. Alemania no aparece en ninguna de las dos enumeraciones.

Es una información con un límite, y el límite forma parte de ella. Lo determinante es la dirección de entrega, no el domicilio ni la nacionalidad. Quien se hizo enviar un dispositivo a una dirección en alguno de los países citados puede estar afectado aunque viva en Alemania. Y la lista de países no sustituye a la comprobación: lo decisivo sigue siendo la notificación desde help@trezor.io.

La segunda oleada golpea a un grupo de compradores muy distinto

El hallazgo verdadero de esta actualización no está en la cifra, sino en el periodo. La primera oleada afectaba a pedidos recientes de la primavera y el verano de 2026. Los aproximadamente 67.000 registros nuevos proceden de una colaboración anterior, entre noviembre de 2019 y agosto de 2021. Son personas que pidieron un dispositivo hace entre cuatro y siete años y que quizá no han vuelto a comprar allí desde entonces.

Para este grupo la situación se invierte. Quien leyó el primer aviso en agosto de 2026 y comprobó que su último pedido databa de años atrás podía darse por no afectado con buenos motivos. Desde el 4 de septiembre eso ya no vale. Nuestro artículo sobre la primera oleada de la filtración de ShipMonk cita la cifra entonces vigente de 13.689 afectados. Esa cifra ha quedado superada por la actualización; el desarrollo de los hechos y el mecanismo allí descrito siguen valiendo sin cambios.

Por qué esto no es un mero baile de cifras: la segunda oleada se compone íntegramente de exposiciones completas, según Trezor, es decir, nombre, correo, teléfono, dirección de entrega y número de pedido en un mismo paquete. Y alcanza a pedidos de una época en la que los criptoactivos valían bastante menos que hoy. Quien compró en 2020 y mantuvo se sienta estadísticamente sobre un saldo mayor que quien entró en 2026. Esa conexión la establece cualquier atacante por su cuenta.

Borrado confirmado por escrito, datos presentes igualmente

Trezor trabaja, según su propia exposición, con un plazo de conservación de 90 días: los datos de pedido deben borrarse o anonimizarse 90 días después de la entrega, y la empresa afirma haber pactado la misma condición con sus socios de envío. En el aviso del 13 de agosto se invocaba precisamente ese plazo como razón de que el daño fuera limitado.

La actualización del 4 de septiembre le quita el suelo a ese argumento. Trezor escribe que solicitó reiteradamente, durante toda la colaboración, una confirmación escrita del borrado, y que la obtuvo, y que está muy decepcionada de que los datos no estuvieran borrados en los sistemas del proveedor pese a esa confirmación. Esta versión procede del fabricante; no disponemos de una toma de posición del proveedor al respecto.

Qué sacas de esto para cualquier otro proveedor

El punto es generalizable, y por eso es el más valioso en la práctica de todo el asunto: un plazo contractual de borrado es un compromiso, no una garantía. El contrato describe lo que un proveedor debe hacer y no dice nada sobre lo que realmente sigue habiendo en sus bases de datos. No puedes comprobarlo desde fuera. Lo que sí puedes gobernar es la cantidad de datos que entregas, y de eso trata la parte final de este artículo.

Por qué una filtración de direcciones no es una pérdida de criptomonedas

Esta distinción es la razón por la que no necesitas mover ninguna criptomoneda después de este aviso. Un atacante que conoce tu nombre, tu dirección y tu teléfono no obtiene con ello acceso alguno a tus saldos. El acceso depende únicamente de la copia de seguridad de la cartera, es decir, de la secuencia de palabras que tu dispositivo mostró durante la configuración y a partir de la cual pueden restaurarse todas las claves privadas. Esa secuencia de palabras nunca estuvo en poder del proveedor de envíos y no forma parte de la filtración.

Quien guarda Bitcoin u otros criptoactivos en un dispositivo propio no tiene, por tanto, ninguna razón técnica para cambiar el aparato o mover sus saldos tras este incidente. Una cartera cuya copia de seguridad nunca se registró digitalmente ni se tecleó en ningún sitio sigue siendo segura, aunque la dirección de entrega sea pública. Solo ha cambiado una cosa: la probabilidad de recibir un acercamiento dirigido.

Detectar el phishing tras una filtración de datos: las señales que cuentan

El phishing designa el intento de moverte, mediante un mensaje falsificado, a entregar credenciales de acceso o claves. Tras una filtración de direcciones se convierte en trabajo de precisión: quien conoce tu nombre, tu dirección, tu teléfono y tu número de pedido ya no escribe un correo masivo. Redacta un mensaje con detalles personales verdaderos, y por eso resulta creíble. Trezor advierte expresamente de este riesgo elevado en su propia entrada de blog y menciona correos falsificados, llamadas fraudulentas y cartas.

Cómo reconoces un mensaje así:

• La urgencia. Cualquier mensaje que exija una actuación inmediata porque supuestamente algo está bloqueado, comprometido o perdido debe pasar por el banco de pruebas. La presión de tiempo es la herramienta con la que se impide la comprobación.
• La petición de datos de recuperación. Ningún fabricante serio pregunta jamás por la copia de seguridad de tu cartera, por tu secuencia de palabras o por tu clave privada, ni por correo, ni por teléfono, ni en una web.
• Los detalles personales como ancla de confianza. Tras esta filtración, una dirección y un número de pedido han dejado de ser prueba de autenticidad; delatan más bien que alguien trabaja con datos filtrados.
• El enlace lleva a otro sitio del que promete. Pasa el ratón por encima del enlace sin hacer clic y lee el destino real. En el teléfono, una pulsación larga en lugar de un toque cumple la misma función.
• Llega un dispositivo que nadie ha pedido. Quien recibe por correo postal, tras una filtración, un aparato supuestamente gratuito o de sustitución no debe configurarlo. Los dispositivos manipulados con una copia de seguridad prefabricada son una vía de ataque conocida.
• La llamada procede del servicio de atención. Los números de teléfono forman parte de la filtración. Devolver la llamada a un número que tú mismo hayas consultado en la web del fabricante despeja cualquier duda.

Hasta qué punto esto puede volverse concreto lo muestra el caso que describimos en el artículo sobre las cartas de phishing dirigidas a titulares de carteras: allí el ataque llegaba a los afectados como una carta impresa con la apariencia de un requerimiento oficial. Una dirección de domicilio expuesta es lo que hace posible esa vía.

Copia de seguridad de la cartera: la única regla contra la que fracasa todo ataque

La copia de seguridad de la cartera es la secuencia de recuperación, por lo general de doce o veinticuatro palabras, con la que tu cartera entera puede reconstruirse en cualquier otro dispositivo. Quien la tiene, tiene las monedas. De ahí una regla sin excepciones: esas palabras no se introducen nunca en una web, no se fotografían nunca, no se guardan nunca en una nube y no se le dicen a nadie, tampoco a un empleado de atención al cliente.

Esta única regla neutraliza prácticamente todo ataque derivado de una filtración de direcciones. Un atacante puede escribirte, llamarte, impresionarte con tu número de pedido y mostrarte una página reconstruida a la perfección. Mientras la secuencia de palabras no salga de tu dispositivo, el ataque queda sin efecto. Aprovecha la ocasión para comprobar también dónde se encuentra físicamente tu copia y si sobreviviría allí a un daño por agua o a un incendio en la vivienda.

Dirección del domicilio expuesta: qué significa el riesgo físico en la práctica

Junto al phishing, Trezor menciona expresamente en su aviso actualizado posibles riesgos para la seguridad física de los afectados, y la prensa especializada ha recogido ese punto. Es la consecuencia sobria de una combinación de datos: una lista de domicilios detrás de los cuales hay con alta probabilidad alguien que posee criptoactivos es otra cosa que una lista de direcciones de clientes de una tienda de muebles.

En la práctica eso significa sobre todo discreción hacia fuera. Quien habla públicamente de sus saldos, los enseña en redes sociales o aparece con su nombre real en los foros del ramo enlaza la dirección filtrada con un orden de magnitud. Ese enlace es el auténtico factor de riesgo, y es la única variable de la ecuación que todavía gobiernas tú. Dónde se encuentra tu copia de seguridad tampoco le incumbe a nadie, y un lugar fuera de la vivienda tiene aquí una segunda ventaja, más allá de la protección contra incendios.

Cómo pedir una cartera de hardware dejando menos rastro de datos

El propio Trezor enumera en su entrada de blog varias formas de revelar menos sobre uno mismo al comprar. Ninguna se limita a un fabricante, todas funcionan con cualquier vendedor a distancia:

1. Una dirección de correo propia para los pedidos, que no lleve tu nombre y no esté vinculada a ninguna otra cuenta.
2. El pago en criptomoneda allí donde el comerciante lo ofrezca; en caso contrario, una tarjeta virtual de un solo uso en lugar de tu tarjeta de crédito habitual.
3. Una dirección de recogida en lugar del domicilio. Trezor menciona el apartado de correos; en Alemania se añaden la consigna de paquetes o la entrega en punto de recogida. Para retirar el envío suele hacer falta un documento de identidad, y el transportista guarda esos datos por su parte.
4. La compra al fabricante en lugar de a través de mercados en línea. Eso no reduce el volumen de datos, pero sí el número de sitios que los tienen, y excluye los dispositivos manipulados de segunda mano.

El resto es una ponderación. Cada una de estas medidas cuesta comodidad, y ninguna te vuelve invisible. Quien quiera evitar por completo la cuestión de los datos llega a otra forma de custodia: una cartera de software es una aplicación en el teléfono o en el ordenador que guarda las claves localmente. Una aplicación así se descarga y no se entrega, de modo que no deja ninguna dirección de envío, pero a cambio ofrece menos protección frente al software malicioso presente en el equipo. Qué hace cada aplicación consta en la comparativa de carteras de software; para saldos mayores, la combinación de ambas sigue siendo la vía habitual.

Qué es Anonymous Delivery y cuándo piensa Trezor ofrecerla en Europa

En esa misma entrada, Trezor anuncia una opción de envío llamada Anonymous Delivery: un proceso de pedido propio con recogida en un punto, embalaje neutro, datos genéricos de remitente y borrado automático de los identificadores de envío tras la entrega. Para la Unión Europea, la empresa fija como objetivo septiembre de 2026, y el final del año para Estados Unidos.

Caben dos matices. Primero, se trata de un anuncio del fabricante y no de un producto disponible; si el plazo se cumplirá no puede comprobarse hoy. Segundo, la opción resuelve el problema de fondo solo en parte: incluso con embalaje neutro, un transportista necesita una dirección de destino, y el borrado tras la entrega vuelve a ser un compromiso cuyo cumplimiento no puedes controlar desde fuera. Como mejora respecto al estado actual sigue siendo relevante, y para compras en la Unión Europea vale la pena mirar, antes del próximo pedido, si la opción ha aparecido ya en el proceso de compra.

Qué dice el incidente sobre los intermediarios en la cadena de suministro cripto

El ataque alcanzó a un proveedor situado dos estaciones por detrás del fabricante. Para ti como cliente esa es la parte más incómoda: compraste en Trezor, pero tus datos estaban en una empresa cuyo nombre la mayoría de los afectados ha conocido solo por este aviso. Eso vale para las carteras de hardware igual que para cualquier otra compra en línea.

Lo trasladable es sobre todo la pregunta de cuántos sitios tienen tus datos. En una plataforma de negociación son el proveedor, la entidad de pago y el verificador de identidad; en la compra de un dispositivo son el comerciante, el proveedor logístico y el transportista. Cada eslabón es un punto de ataque propio, y ninguno lo compruebas tú. Quien se decide por una plataforma puede al menos fijarse en la supervisión: en una comparativa de proveedores, la pregunta por la sede, la licencia y el tratamiento de datos forma parte hoy de la selección tanto como la comisión.

Comprobar la filtración de datos de Trezor: lo que debes retener

1. Revisa primero tu buzón de correo, no tu cartera. Un mensaje de help@trezor.io decide si estás afectado; sin él no figuras en los datos, según el fabricante. Tus monedas están seguras al margen de eso, mientras tu copia de seguridad no se haya tecleado nunca. Si de todos modos estás pensando en tu dispositivo, la comparativa de carteras de hardware ayuda a situarlo.
2. Cuenta con acercamientos dirigidos, no con correos masivos. Prevé para los próximos meses correos, llamadas y cartas que contengan tus datos de pedido auténticos. La secuencia de palabras de tu copia nunca sale de tu dispositivo. Si quieres repartir mejor tu custodia, la comparativa de carteras de software muestra qué tiene sentido junto al dispositivo.
3. Reduce el rastro de datos en tu próximo pedido. Dirección de pedido propia, punto de recogida en lugar del domicilio, compra directa al fabricante. Y si una parte de tus saldos está en una plataforma, comprueba en la comparativa de exchanges quién guarda allí qué datos y bajo qué supervisión.

Fuentes y referencias de este artículo

Las cifras, los periodos, los campos de datos y las indicaciones de países proceden de la entrada de blog de Trezor sobre el incidente en el proveedor de envíos, actualizada por última vez el 4 de septiembre de 2026. La valoración independiente de la cifra total y del periodo de la segunda oleada se apoya en el informe de CyberInsider del 4 de septiembre de 2026. Ambas fuentes estaban accesibles el 4 de septiembre de 2026.

(4 de septiembre de 2026. Este artículo no constituye asesoramiento de inversión. Los precios y las tarifas cambian; comprueba las condiciones con el proveedor antes de comprar.)