Filtración de datos en Trezor: primero 13.689 clientes, después unos 67.000 más al descubierto

Actualización (1 de noviembre de 2026): Desde la segunda oleada de ShipMonk, Trezor ha comunicado otros dos incidentes. El 9 de septiembre de 2026, un actor no autorizado aprovechó un incidente de seguridad en Brevo, el proveedor de boletines, para enviar desde la cuenta de Trezor un correo de phishing con el asunto «Critical Security Alert: STM32 Entropy Vulnerability» a unos 347.000 suscriptores; según el comunicado de Trezor (actualizado el 17 de septiembre), se exportaron 347.149 direcciones de correo, Trezor bloqueó el dominio enlazado en 20 minutos y para entonces unas 2.500 personas habían hecho clic. El 30 de octubre de 2026, Trezor advirtió de un implante denunciado en un Trezor Safe 5 que un cliente de Indonesia compró en agosto a CryptoBilis, revendedor oficial en el Sudeste Asiático hasta octubre; Trezor aún no había examinado el dispositivo, pero considera creíble el aviso. Quien haya comprado a CryptoBilis desde marzo de 2026 debe trasladar sus fondos a una cartera recién creada y puede recibir un dispositivo de sustitución o un vale. Para los afectados por ShipMonk nada cambia: quien no haya recibido un correo de Trezor no está afectado.

Situación a 30 de septiembre de 2026: una segunda oleada con unos 67.000 afectados más

La cifra de 13.689 afectados de la que trata este artículo está desactualizada. El 4 de septiembre de 2026, Trezor amplió su comunicado sobre el incidente: el 2 de septiembre, ShipMonk informó de que la filtración era mayor de lo conocido. También contenía datos de pedidos de la colaboración anterior, entre noviembre de 2019 y agosto de 2021, aunque Trezor afirma que se le había confirmado por escrito en varias ocasiones su eliminación. Están afectados unos 67.000 clientes más en Estados Unidos, cada uno con nombre, correo electrónico, teléfono, dirección de envío y número de pedido.

Rige la misma regla que en la primera oleada: Trezor avisó directamente por correo electrónico a todos los afectados, y quien no haya recibido ese correo no está afectado, según el fabricante. Los dispositivos en sí son seguros, según Trezor; el riesgo está en correos, llamadas y cartas falsos que aprovechan los datos filtrados. Cómo distinguir un aviso auténtico de uno falso se explica en Filtración de datos de Trezor: ¿estoy afectado y qué hago ahora?.

Las secciones siguientes reflejan la situación al 13 de agosto de 2026.

Trezor confirmó el 13 de agosto de 2026 que uno de sus proveedores de envíos sufrió una filtración de datos que dejó al descubierto la información de pedido de miles de compradores de monederos físicos. Ninguna clave privada fue tocada y ningún dispositivo quedó comprometido. Aun así, el conjunto de datos filtrado es de los más peligrosos que existen en el mundo cripto: una lista verificada de personas que poseen una hardware wallet, junto con la dirección exacta a la que se la enviaron.

Hack de Trezor: ¿Qué ocurrió exactamente en la filtración de datos de Trezor ShipMonk?

El lunes 10 de agosto de 2026, el socio logístico ShipMonk informó a Trezor que un actor no autorizado había accedido a sistemas que contenían datos de pedidos de clientes. Trezor hizo público el incidente tres días después, el 13 de agosto.

ShipMonk es el socio de cumplimiento que almacena productos de Trezor y envía paquetes a clientes en EE. UU., Reino Unido y varios otros mercados. Para entregar un paquete, retiene el nombre del destinatario, la dirección de envío, el número de teléfono, la dirección de correo electrónico y el número de pedido. Ese es exactamente el conjunto de datos que fue expuesto.

Los números que Trezor publicó se desglosan de la siguiente manera:

• 11,742 clientes con exposición total: nombre, correo electrónico, número de teléfono y dirección de envío
• 1,947 clientes con exposición parcial: nombre, ciudad y correo electrónico
• 13,689 clientes afectados en total

La investigación aún está en curso. Trezor afirma que ShipMonk ha asegurado los sistemas afectados y ha reforzado su seguridad desde el incidente.

¿Quiénes están afectados por la filtración de datos de clientes de Trezor?

La filtración se limita a nuevos clientes que recibieron un pedido entre el 10 de mayo y el 8 de agosto de 2026 en siete países: Estados Unidos, Reino Unido, Suecia, Colombia, Brasil, Italia y Portugal.

Cualquier cosa anterior ya había sido eliminada. Trezor aplica una política de retención de datos de 90 días y exige contractualmente a los socios de cumplimiento que eliminen o anonimicen los datos de pedidos 90 días después de la entrega. Esa única política es la razón por la que la exposición se detuvo en aproximadamente 13,700 personas en lugar de cada comprador en la historia de la empresa.

Hay una prueba clara para saber si estás afectado. Trezor envió un correo electrónico a cada cliente expuesto directamente desde help@trezor.io. Si ese correo electrónico no está en tu bandeja de entrada, no estás en la lista. Vale la pena señalar, dado lo que viene a continuación: los estafadores impersonarán absolutamente ese correo de notificación en los próximos días.

¿Fue hackeado Trezor y son seguros los dispositivos?

No, y sí. Este es un incidente de cadena de suministro y de proveedor, no una violación de la billetera.

Los propios sistemas de Trezor no fueron comprometidos. No se involucraron claves privadas, copias de seguridad de billeteras, frases semilla ni firmware, y no hay fondos en riesgo debido al incidente en sí. El hardware cumplió su función. El punto débil fue la capa comercial alrededor del producto, no el producto en sí.

Esa distinción es importante técnicamente, pero ofrece un consuelo limitado en la práctica. Los atacantes ahora tienen datos de targeting de infraestructura: una lista nueva de titulares de criptomonedas confirmados emparejados con direcciones y números de teléfono reales. Una filtración de correos electrónicos es una molestia. Un nombre más una dirección de casa más un número de teléfono identifica a una persona específica en una puerta específica como alguien que muy probablemente posee criptomonedas.

Trezor también confirmó que esta es la primera violación desde que la empresa fue fundada en 2013 que expone números de teléfono y direcciones de envío de clientes. Un incidente separado en enero de 2024 en un portal de soporte de terceros expuso los detalles de contacto de casi 66,000 usuarios, pero no direcciones físicas.

¿Por qué esta filtración de datos es más peligrosa que una violación típica de contraseñas?

Porque la industria de las criptomonedas ya tiene un manual sobre lo que sucede a continuación, y ha estado en funcionamiento desde 2020.

Cuando aproximadamente 272,000 registros de clientes de Ledger, incluidos nombres, direcciones y números de teléfono, fueron publicados tras la violación de comercio electrónico de esa empresa en 2020, las consecuencias nunca realmente terminaron. Las víctimas informaron sobre oleadas de correos electrónicos y SMS de phishing, carteras de hardware falsificadas enviadas a sus hogares en 2021, cartas físicas con códigos QR maliciosos y llamadas telefónicas de personas que hablaban como si las conocieran personalmente. Algunos recibieron demandas de rescate con amenazas de violencia.

El riesgo físico ya no es teórico. CertiK verificó 52 ataques físicos a poseedores de criptomonedas en todo el mundo en la primera mitad de 2026, frente a 39 un año antes, siendo las invasiones de hogares el método más común, superando al secuestro. Chainalysis estimó que la cantidad robada a través de ataques violentos superó los 30 millones de dólares en el mismo período, con la proyección de superar el total del año completo de 2025, que fue de aproximadamente 58 millones de dólares.

Los proveedores siguen demostrando ser el eslabón más débil en esta cadena. El procesador de pagos de Ledger, Global-e, filtró datos de pedidos de clientes en enero de 2026, y en cuestión de días, los atacantes estaban enviando correos electrónicos de phishing anunciando una falsa fusión entre Ledger y Trezor, personalizados con los detalles de los pedidos filtrados. Un detalle incómodo sobre ShipMonk: el proveedor tiene certificación SOC 2 Tipo II, un estándar de seguridad auditado, y fue vulnerado de todos modos.

¿Qué deben hacer los clientes de Trezor ahora mismo?

La guía de Trezor es breve, y el historial de la industria dice que funciona:

• Nunca ingreses tu copia de seguridad de la billetera o frase semilla en ningún sitio web, nunca. Ninguna empresa legítima lo pedirá, incluyendo Trezor.
• Trata la urgencia como una señal de alerta. Cualquier mensaje que exija acción inmediata o pida información personal debe considerarse hostil hasta que se demuestre lo contrario.
• Verifica todo contra los canales oficiales de Trezor, el blog oficial y cuentas sociales verificadas. Escribe las URL manualmente en lugar de hacer clic en enlaces.
• Espera contacto a través de todos los canales, no solo por correo electrónico. Llamadas telefónicas falsas, SMS, cartas físicas e impersonaciones de bancos, intercambios o de Trezor mismo están sobre la mesa.
• Considera tu postura de seguridad física si tu dirección completa fue expuesta. Hablar públicamente sobre tus tenencias, especialmente junto a una identidad real, se vuelve materialmente más arriesgado.

Cualquiera que quiera verificar el estado o plantear una preocupación puede contactar directamente al soporte de Trezor a través del sitio oficial.

¿Cuál es la opción de Entrega Anónima de Trezor?

Trezor dice que está acelerando una opción de Entrega Anónima diseñada para romper el vínculo entre la compra de una billetera de hardware y una identidad del mundo real. Bajo el sistema planeado, los pedidos utilizarían:

• Un proceso de pago dedicado
• Un apodo o ID de etiqueta en lugar de un nombre real
• Recogida automatizada en taquillas de paquetes
• Embalaje sin marca con una etiqueta de remitente genérica, con el transportista recibiendo solo un PIN de recogida por correo electrónico o SMS
• Eliminación automática de identificadores de envío después de la entrega

Trezor tenía como objetivo estar disponible en la UE para septiembre de 2026 y en los EE. UU. para finales de 2026, y describía el proyecto como una prioridad máxima. A 1 de noviembre de 2026, el comunicado de Trezor sigue mencionando estos objetivos; hasta entonces la empresa no había anunciado en su blog el lanzamiento del envío anónimo, mientras que sus páginas de ayuda indican que la tienda de Trezor ya envía a puntos de recogida y taquillas.

Mientras tanto, la empresa sugiere realizar pedidos con una dirección de correo electrónico que no esté vinculada a tu identidad real, pagar con criptomonedas o una tarjeta virtual desechable en lugar de una tarjeta de crédito, y utilizar un apartado de correos cuando sea práctico.