Implante en un Trezor Safe 5 de CryptoBilis: quién necesita ahora una nueva cartera

Trezor advirtió el 30 de octubre de 2026 a todos los clientes que desde marzo de 2026 compraron un dispositivo en su antiguo distribuidor CryptoBilis. Un comprador denunció en un Trezor Safe 5 una placa adicional con módulo de telefonía móvil que leería y enviaría el contenido de la pantalla, incluida la frase de recuperación. Quien compró su dispositivo directamente a Trezor o a otro distribuidor no está afectado según la información disponible: Trezor no tiene avisos sobre otros distribuidores o regiones.

El implante aún no está verificado. En el momento de su aviso, el fabricante no tenía el dispositivo en sus manos y se basaba en la descripción del cliente y en una videollamada con él. Aun así, Trezor recomienda a todos los compradores de CryptoBilis trasladar sus criptomonedas a una nueva cartera con una nueva frase de recuperación. Este artículo explica qué se ha denunciado, quién debe actuar y por qué el caso también afecta a compradores en Alemania que nunca han tenido relación con CryptoBilis.

Trezor Safe 5: lo que el fabricante comunicó el 30 de octubre

Según el comunicado de Trezor, su equipo de seguridad recibió el 28 de octubre de 2026 una divulgación responsable («responsible disclosure»). Así se denomina la comunicación confidencial de una vulnerabilidad al fabricante antes de que se haga pública. El aviso se refería a un implante de hardware en un Trezor Safe 5 que el cliente había comprado en agosto de 2026 a CryptoBilis a través del marketplace en línea Tokopedia. Dos días después, el 30 de octubre, Trezor hizo pública una advertencia.

En ella, el propio fabricante subraya que aún no ha verificado el aviso. No obstante, lo considera creíble. El medio especializado The Block cita a Danny Sanders, director comercial de Trezor, con la justificación de este paso: «We'd rather warn people now than wait for confirmation and find out someone lost their funds in the meantime». Es decir: mejor advertir ahora que esperar a la confirmación y enterarse entretanto de que alguien ha perdido su dinero.

Dos puntos del comunicado son importantes para valorar el caso. El cliente que denunció el implante ya había retirado sus criptomonedas del dispositivo antes de descubrir la placa adicional. Y hasta la publicación, ningún comprador de CryptoBilis había comunicado a Trezor una pérdida. Trezor anuncia que actualizará el comunicado si eso cambia. Como las carteras Trezor son de autocustodia, el fabricante no ve los saldos de sus clientes y depende de este tipo de avisos.

Implante de hardware: placa adicional con módulo móvil entre la placa base y la pantalla

Un implante de hardware es un componente instalado a posteriori que añade en secreto a un dispositivo una función que el fabricante nunca previó. En el Safe 5 denunciado se trataría de una placa de circuito adicional situada entre la placa base y la pantalla. Según la descripción, lleva un módulo de telefonía móvil y una antena.

Según el relato del cliente, esta placa lee lo que muestra la pantalla, incluida la copia de seguridad de la cartera, y transmite el contenido por la red móvil en cuanto se conecta el dispositivo. Trezor señala expresamente que no ha comprobado por sí mismo este funcionamiento. Según el comunicado, el implante parece funcionar de forma similar a los componentes hallados antes en dispositivos de Ledger. Trezor rehúsa expresamente comparar a los atacantes mientras dure la investigación; quién está detrás del implante es desconocido, según el fabricante.

La vía de ataque explica por qué un componente así es tan peligroso. Una cartera hardware protege la clave privada al no transmitirla nunca al ordenador o al smartphone. La frase de recuperación, también llamada frase semilla, es la lista de palabras a partir de la cual pueden recalcularse todas las claves de la cartera. La frase aparece en la pantalla durante la configuración para que puedas copiarla. Quien lea justo ese momento no necesita contraseña ni el PIN del dispositivo: con la frase, la cartera puede restaurarse en cualquier dispositivo y vaciarse.

CryptoBilis: el mismo distribuidor que en el caso Ledger de octubre

CryptoBilis es un distribuidor del sudeste asiático que ha vendido dispositivos tanto de Ledger como de Trezor. El 9 de octubre de 2026, Ledger empezó a investigar pérdidas de clientes que habían comprado sus dispositivos en CryptoBilis y confirmó después manipulaciones físicas en algunos de ellos. Ese mismo día, Trezor excluyó a CryptoBilis de su red de distribuidores autorizados, según su versión por precaución y antes de que hubiera indicios de dispositivos Trezor afectados.

El alcance de los daños en el caso Ledger no está definitivamente establecido. Analistas on-chain estimaron las pérdidas en bitcoin, ether y Tron en más de 86 millones de dólares, según The Block; Ledger no ha confirmado esta cifra. cryptoticker.io informó del inicio del caso el 9 de octubre de 2026. En Alemania, MediaMarkt y Saturn retiraron temporalmente de la venta los dispositivos de Ledger después de que un cliente denunciara un implante, según publicamos el 13 de octubre de 2026; los detalles están en nuestro artículo sobre la suspensión de ventas en MediaMarkt y Saturn.

Desde entonces, según The Block, Trezor ha examinado otros cuatro dispositivos de clientes procedentes del stock de CryptoBilis y no ha encontrado rastro de manipulación en ninguno. El 13 de octubre, el fabricante anunció además que reduciría de forma notable su red de distribuidores en todo el mundo. Los socios excluidos pueden liquidar sus existencias hasta el 1 de enero de 2027, como describimos el 18 de octubre de 2026 en nuestro artículo sobre el fin de las autorizaciones de los distribuidores de Trezor.

Quién está afectado: compras de Trezor en CryptoBilis desde marzo de 2026

Trezor define de forma deliberadamente amplia el círculo de afectados. Se refiere a cualquier persona que haya comprado un dispositivo Trezor en CryptoBilis desde marzo de 2026, con independencia del modelo. Un Trezor Safe 3 o Safe 7 de este canal queda incluido igual que el Safe 5 denunciado. También se incluyen todos los marketplaces en los que se ofrecieron dispositivos suministrados por CryptoBilis, expresamente también la tienda en Tokopedia.

Según la información actual, quien compró en otro lugar no está afectado. Trezor indica que no hay avisos sobre otros distribuidores o regiones y anuncia que informará a los clientes si eso cambia. Un dispositivo de la tienda oficial de Trezor o de un distribuidor autorizado ajeno a este canal no está, por tanto, bajo sospecha.

Si no sabes con seguridad de dónde procede tu dispositivo, la respuesta suele estar en la confirmación del pedido o en la factura. Un dispositivo comprado en un marketplace a un vendedor externo cuyo proveedor ya no puede rastrearse merece más cautela que uno con una factura clara del fabricante. Trezor vincula el derecho a un dispositivo de sustitución a la compra en CryptoBilis, así que conviene guardar el justificante.

Clientes de Trezor en Alemania: el canal de compra cuenta más que el modelo

Para los compradores en Alemania, la exposición directa es baja según todo lo que se sabe. CryptoBilis era un distribuidor para el sudeste asiático, y el caso denunciado procede de una compra en un marketplace indonesio. Aun así, el caso es relevante, porque es el segundo ataque denunciado a través del mismo distribuidor en pocas semanas y afecta ya a un segundo fabricante.

La lección vale para cualquiera que compre una cartera hardware. Un ataque a la cadena de suministro no golpea el producto final en manos del usuario, sino una etapa anterior: fabricación, almacén, envío o distribución. Un dispositivo manipulado parece por fuera igual que cualquier otro. Que un dispositivo sea seguro depende, por tanto, sobre todo de por cuántas manos ha pasado. Si buscas un dispositivo nuevo, la comparativa de carteras hardware de cryptoticker.io recoge los modelos habituales con sus canales de compra.

Un segundo punto afecta a todos los clientes de Trezor, sea cual sea el distribuidor. Trezor afirma que espera que los estafadores aprovechen el incidente y advierte de phishing por correo electrónico, carta y teléfono. Los clientes de Trezor ya fueron objetivo de este tipo de intentos este año: The Block recuerda la filtración de datos en el proveedor logístico ShipMonk, que en agosto afectó a los datos de unos 13.700 clientes, y otros unos 67.000 clientes en Estados Unidos que se declararon afectados en septiembre. Quien reciba ahora un mensaje sobre un dispositivo supuestamente afectado debe leerlo con desconfianza.

Cómo protegerte de carteras hardware manipuladas en la distribución

Qué ha pasado: el 28 de octubre de 2026, un cliente comunicó a Trezor una placa adicional con módulo móvil en un Safe 5 comprado en agosto de 2026 a CryptoBilis a través de Tokopedia. Trezor aún no ha examinado el dispositivo, pero considera creíble el aviso; hasta el 30 de octubre de 2026 no se había comunicado ninguna pérdida (Trezor).

¿Estás afectado? Puede estarlo cualquiera que desde marzo de 2026 haya comprado un dispositivo Trezor de cualquier modelo en CryptoBilis o en una tienda de marketplace con productos de CryptoBilis. Quien compró directamente a Trezor o a otro distribuidor no está afectado según la información actual. Un implante no se detecta desde fuera; lo único que cuenta es el canal de compra que figura en tu factura.

1. Traslada los fondos: si hay criptomonedas en un dispositivo de CryptoBilis, transfiérelas cuanto antes a una nueva cartera con una frase de recuperación recién generada, porque la antigua debe considerarse conocida.
2. No reutilices nunca la frase antigua: no restaures la copia de seguridad del dispositivo afectado ni siquiera en otro dispositivo, porque Trezor advierte expresamente de que el problema seguiría ahí.
3. No lo configures: no enciendas un dispositivo de este canal que siga en su embalaje original y nunca introduzcas en él una frase de recuperación existente.
4. Solicita una sustitución: guarda el dispositivo junto con el justificante de compra y contacta con el soporte de Trezor, que ofrece un dispositivo nuevo o un vale por el valor de uno nuevo.
5. Esquiva el phishing: no des tu frase de recuperación a nadie, tampoco a un supuesto empleado del soporte, porque Trezor nunca la pide y advierte de correos, cartas y llamadas relacionados con este incidente.

Los dispositivos adecuados se comparan en nuestra comparativa de carteras hardware.

Por qué pesar o abrir el dispositivo no sustituye a una revisión de implantes

Lo más obvio sería revisar uno mismo el dispositivo. Trezor lo desaconseja. El cliente que denunció el implante había detectado una diferencia de peso, pero según el fabricante una báscula no puede demostrar ni descartar con seguridad una manipulación. El comunicado lo expresa así: «there's no dependable way to inspect a device yourself», es decir, no existe una forma fiable de examinar uno mismo un dispositivo.

Abrir la carcasa tampoco es una solución. Un dispositivo abierto resulta menos concluyente para un examen posterior del fabricante, y un profano apenas puede distinguir una diminuta placa adicional de un componente normal. Trezor recomienda en su lugar la vía que funciona sin ninguna revisión: trasladar los fondos, conservar el dispositivo y contactar con el soporte.

La razón de esta postura está en el riesgo. Quien toma por limpio un dispositivo manipulado puede perderlo todo en el peor de los casos. Quien sustituye por precaución un dispositivo limpio solo pierde algo de tiempo y una comisión de transacción por el traslado.

Nueva frase semilla: una solución provisional sin segunda cartera hardware

No todo el mundo tiene a mano un segundo dispositivo seguro. Para ese caso, Trezor menciona dos soluciones provisionales: una wallet de software o un exchange que conozcas. Una wallet de software es una aplicación en el smartphone o el ordenador que gestiona ella misma las claves. Es más cómoda, pero está expuesta a los riesgos del dispositivo en el que funciona. La comparativa de wallets de software muestra qué aplicaciones son adecuadas.

Un exchange, en cambio, custodia las criptomonedas por ti. Desde MiCA, el reglamento europeo sobre mercados de criptoactivos, los proveedores de la UE necesitan una autorización para ello. Quien elija esta vía durante unos días debe optar por un proveedor con esa licencia; la comparativa de exchanges cripto regulados ofrece una visión general. En el traslado cobra especial importancia la advertencia de Trezor: comprueba la dirección de recepción completa antes de enviar, no solo el principio y el final.

En cuanto llegue el dispositivo de sustitución, genera en él una nueva frase de recuperación, anótala sin conexión y devuelve las criptomonedas desde la solución provisional. La frase del dispositivo de CryptoBilis queda después sin uso para siempre.

Resultado de laboratorio pendiente: cómo examina ahora Trezor el Safe 5

Lo que falta sobre todo es la confirmación. Trezor quiere examinar el Safe 5 denunciado en su laboratorio en cuanto reciba el dispositivo y completar después el comunicado. Solo entonces se sabrá si el implante funciona como se ha descrito. El fabricante dice colaborar con Ledger y otras entidades y agradece su ayuda al equipo de emergencia SEAL 911, un grupo de investigadores de seguridad que asiste a usuarios de criptomonedas atacados.

Al mismo tiempo avanza la reestructuración de la red de distribuidores que Trezor anunció ya el 13 de octubre; en el nuevo comunicado, el fabricante presenta la limitación de sus vendedores autorizados como una medida de precaución. Para los compradores es por ahora una buena noticia, porque se reduce el número de etapas entre la fábrica y el cliente. Hasta que los distribuidores excluidos pierdan su autorización el 1 de enero de 2027, comprar directamente al fabricante o a un distribuidor claramente listado sigue siendo la vía más segura.

Implante de Trezor: lo que cuenta son las compras en CryptoBilis desde marzo de 2026

Según la información actual, el caso denunciado afecta a un círculo muy delimitado, y no se conoce ninguna pérdida. Quien no compró a través de CryptoBilis no tiene que trasladar nada. Aun así, tres pasos tienen sentido:

1. Aclara el canal de compra: busca la factura o la confirmación del pedido. Si el dispositivo procede de CryptoBilis, sigue los cinco pasos anteriores; para un dispositivo nuevo te ayuda la comparativa de carteras hardware.
2. Asegura la transición: si no tienes un segundo dispositivo, usa durante unos días una aplicación contrastada de la comparativa de wallets de software y comprueba cada dirección de recepción completa.
3. Solo exchanges autorizados: si aparcas criptomonedas temporalmente en una plataforma de negociación, elige un proveedor de la comparativa de exchanges cripto regulados.

(2 de noviembre de 2026. Este artículo no constituye asesoramiento de inversión. Los precios y las tarifas cambian; comprueba las condiciones con el proveedor antes de comprar.)