Trezor afirmó que recibió un informe creíble sobre una posible manipulación de hardware en un Trezor Safe 5 comprado a CryptoBilis en agosto de 2026. La persona que presentó el informe dijo que el supuesto implante podía leer datos de la pantalla, incluida la frase semilla, y transmitirlos a través de una red móvil.

Trezor instó a los clientes que hayan comprado cualquiera de sus dispositivos a CryptoBilis desde marzo de 2026 a trasladar sus activos a una nueva cartera con una nueva frase semilla.

El equipo de seguridad de Trezor recibió un informe sobre un posible implante de hardware en un Trezor Safe 5 comprado a CryptoBilis en Indonesia a través del mercado Tokopedia en agosto de 2026. Aunque Trezor no ha examinado el dispositivo en su laboratorio, considera creíble el informe y advirtió a los clientes afectados porque el supuesto implante podría haber expuesto sus copias de seguridad de cartera.

Trezor dijo que no tenía confirmación de que se hubieran robado fondos a clientes de CryptoBilis. La empresa instó a cualquier persona que haya comprado cualquier modelo de Trezor a través del vendedor desde marzo de 2026 a tomar precauciones.

Supuesto implante e investigación de Ledger

Según la persona que presentó el informe, se instaló una placa adicional que contenía un módulo celular y una antena entre la placa principal y la pantalla del Safe 5. La persona indicó que el implante lee la información mostrada en la pantalla, incluida la copia de seguridad de la cartera, y la transmite a través de una red móvil cada vez que el dispositivo se conecta a la corriente.

Un usuario en Indonesia reportó el dispositivo mediante el programa de divulgación responsable de Trezor. La empresa recibió fotografías y un recibo, y realizó una entrevista por video con el usuario. Trezor dijo que la información era lo suficientemente grave como para justificar una advertencia a los clientes antes de la verificación de laboratorio.

“No hemos recibido el dispositivo para confirmar este informe, pero, basándonos en la descripción del cliente y en una entrevista por video, lo estamos tratando como creíble”, dijo Trezor.

Trezor dijo que el supuesto implante podría funcionar con un principio similar al de implantes hallados anteriormente en dispositivos Ledger. El informe surgió durante una investigación sobre un ataque a la cadena de suministro que involucraba carteras de hardware vendidas por CryptoBilis.

Ledger comenzó a revisar el 9 de octubre de 2026 informes según los cuales clientes que compraron dispositivos a través de CryptoBilis habían perdido fondos. Posteriormente, la empresa confirmó un implante de hardware no autorizado en al menos una cartera. El 13 de octubre, el equipo Ledger Donjon publicó detalles técnicos que mostraban que el componente detectado podía leer información de la pantalla y transmitir la frase semilla mediante LTE.

Después de que comenzó esa investigación, Trezor pidió a CryptoBilis que dejara de vender sus dispositivos, y el vendedor cumplió. A partir del 19 de octubre, Trezor recibió cuatro dispositivos devueltos para su inspección: un Safe 7, dos unidades Safe 5 y un Safe 3. La empresa no encontró evidencia de manipulación en esos dispositivos, pero dijo que otros dispositivos aún podrían haber sido comprometidos.

Trezor dijo que no sabía quién estaba detrás del supuesto ataque y que no había concluido que los implantes en dispositivos Ledger y Trezor estuvieran conectados. Está trabajando con Ledger y otros participantes en la investigación. SEAL 911, el servicio de respuesta de emergencia de Security Alliance para incidentes de seguridad cripto, también participa en la respuesta.

Orientación y reemplazos para clientes

Trezor aconsejó a los clientes que ya utilizan dispositivos comprados a CryptoBilis desde marzo de 2026 trasladar sus fondos lo antes posible a una nueva cartera generada con una nueva frase semilla. Restaurar la copia de seguridad antigua en otro dispositivo no eliminaría el riesgo si la frase ya hubiera sido interceptada.

Los clientes que no tengan otra cartera de hardware deberían trasladar temporalmente sus activos a una cartera de software o a un exchange en el que confíen, dijo Trezor. Quienes no hayan configurado su dispositivo de CryptoBilis no deberían activarlo ni introducir en él una copia de seguridad de cartera existente.

La empresa también advirtió que los estafadores podrían aprovechar el incidente mediante correos electrónicos fraudulentos, mensajes físicos o llamadas telefónicas mientras se hacen pasar por representantes de Trezor. Trezor dijo que su personal de soporte nunca pide a los clientes que revelen su frase semilla.

Los clientes que compraron dispositivos a través de CryptoBilis desde marzo de 2026 pueden recibir una cartera de reemplazo entregada directamente por Trezor o un vale para comprar una. Deben conservar el dispositivo de CryptoBilis y contactar con el soporte de Trezor.

Aunque el aviso se refiere a un Safe 5 específico, Trezor dijo que sus recomendaciones se aplican a todos los modelos comprados a través de CryptoBilis. Aconsejó a los usuarios no pesar ni desmontar sus dispositivos porque no existe una forma fiable de que los clientes comprueben por sí mismos si hay un implante.

Al momento de la publicación, Trezor no había recibido informes de fondos robados a clientes de CryptoBilis. La empresa dijo que el usuario que encontró el componente sospechoso trasladó sus activos fuera del dispositivo antes de descubrirlo.

Otros incidentes de seguridad de carteras de hardware

El caso de CryptoBilis sigue a otros incidentes de seguridad que afectaron a usuarios de carteras de hardware. Un ataque a gran escala contra propietarios de Coldcard provocó el robo de unos 1.367 BTC, valorados en cerca de 88,6 millones de dólares. Trezor también informó que una filtración en el socio logístico ShipMonk expuso los datos personales de 13.689 clientes.

En septiembre de 2026, Trezor advirtió que atacantes habían comprometido a un proveedor externo de correo electrónico y utilizado su infraestructura para distribuir correos electrónicos de phishing. Keystone informó por separado que una filtración de su sitio web oficial expuso nombres de clientes, datos de contacto, direcciones de envío e historiales de pedidos, aunque la empresa dijo que las claves privadas y las frases semilla no se vieron afectadas.

Fuente: HODL Press