La filtración de 80,000 nombres en Trezor fue una promesa incumplida de eliminar esa información… No era simplemente un problema con la cartera.

El 13 de agosto, Trezor informó que13,689 clientesSus datos personales habían filtrado a través de un socio de envíos. Seis semanas después, la cantidad aumentó en una orden de magnitud: una revisión reveló…67,000 clientes estadounidenses más.Y el total conocido superó los 80,000. Los registros recién encontrados no eran pedidos nuevos. Databan de…Noviembre de 2019 a agosto de 2021Se creía que los datos de los clientes de Trezor habían sido eliminados, pero todavía estaban en los sistemas del proveedor.

Esta es la información que la empresa proporcionó, junto con su calificación: se trata de una notificación de incidente reportada por la propia empresa, no de un hallazgo independiente. Por lo tanto, los números son los que Trezor indica. ShipMonk, el socio de entrega de servicios de Trezor, sufrió una brecha debido a una falla en la inserción de datos mediante SQL, que era desconocida anteriormente, en Metabase, una herramienta de análisis de datos.Metabase notificó a ShipMonk alrededor del 6 de agosto.Se corrigió la vulnerabilidad y se invalidaron las sesiones. Lo que filtróse en los registros expuestos fueron: nombres, direcciones de correo electrónico, números de teléfono, direcciones de envío y números de pedido. Lo que no filtróse, según los datos proporcionados por Trezor, fueron las claves privadas, las frases de semilla, los respaldos del monedero y cualquier información relacionada con el propio dispositivo.

Esa última línea es la diferencia que los titulares tienden a ocultar; se trata del hecho fundamental de esta historia. La razón por la cual el número sigue aumentando es una promesa incumplida relacionada con la eliminación de datos, no un problema relacionado con productos criptográficos defectuosos. Trezor dice que opera de manera…Política de retención de datos de 90 díasNegocia los términos de los contratos para su cumplimiento, y le ha pedido a ShipMonk que elimine los registros antiguos.Recibir una confirmación escrita de que los datos han sido eliminados.Los registros del año 2019 seguían allí, de todos modos. Un proveedor que afirma haber eliminado lo que le pagaron para hacerlo, pero en realidad no lo hizo, es el motivo por el cual una “brecha” limitada se convierte en una brecha que afecta a 80,000 personas.

La calificación de los incidentes es importante, porque el año 2026 ha sido realmente un mal año para las carteras digitales. Al tratarlas como algo uniforme y sin diferencias, se pierde de vista dónde se encuentra el verdadero riesgo. Compare tres incidentes que ocurrieron en semanas consecutivas:

• Coldcard: fondos perdidos.Un error en el firmware del mes de marzo de 2021Se ha reducido la aleatoriedad de los datos en algunos dispositivos, desde 128 bits hasta tan solo 40 bits. Comenzando alrededor del 30 de julio de 2026, aproximadamente…1,816 bitcoins – aproximadamente $116 millonesSe extrajo del sistema de más de 5,200 direcciones en cuatro fases. En este caso, las propias claves se vieron comprometidas, y el activo fue robado.
• SafePal: los datos están protegidos, los fondos están seguros.Se reveló el 16 de agosto que había un error en su plugin de seguimiento de pedidos, lo que permitía ver los detalles de los pedidos.39,798 clientesSafePal confirmó que las carteras, las frases de semilla y las claves privadas permanecen seguras.
• Trezor: los datos se han expuesto, pero los fondos están a salvo.La brecha de SQL-injection de ShipMonk ha afectado a más de 80,000 personas. Las claves y los dispositivos no han sido afectados.

Se trata de leer las tres filas como un único evento. La conclusión es que “las carteras de hardware no son seguras”. Se pueden separar por lo que realmente ocurrió en cada caso. El único incidente en el que se perdió dinero fue aquel en el que falló el proceso de generación de claves. Los dos casos en los que nadie perdió nada son eventos relacionados con fugas de datos: la cartera funcionó exactamente como estaba diseñada, y la exposición de datos ocurrió a través de proveedores de transporte y análisis de datos, no a través del material químico utilizado en la cartera.

Entonces, ¿qué cambió realmente en el caso de Trezor? Aplicamos la prueba de identidad. Antes del ataque, un comprador de Trezor era simplemente una persona que poseía ese dispositivo. Después del ataque, esa misma persona se convierte en alguien que posee criptomonedas, con dirección residencial, número de teléfono y número de pedido, elementos que los canales de soporte legítimos pueden reconocer. La superficie de ataque pasó del dispositivo al individuo: correos electrónicos y llamadas fraudulentas, sitios web falsos para obtener ayuda, y personas que se hacen pasar por esas personas, ahora con detalles realistas para engañar a las personas. Eso es lo que se denomina “repreciación”. Su saldo no fue repreciado; el cartera nunca reveló ningún camino para acceder a él. Pero su identidad y su propia negligencia sí fueron expuestas. Un número de seguimiento, junto con una dirección, convierten un mensaje dirigido a una persona específica en algo en lo que esa persona podría creer.

Para un inversor, la pregunta más importante es qué efectos tiene esto en la empresa que lo desarrolla. La respuesta honesta es que no existe ninguna forma directa de poseerla. Trezor es una empresa checa privada, gestionada por SatoshiLabs. Ledger, su principal competidor, también es una empresa privada. No existe ningún índice bursátil para negociar este tema. Lo importante es que la exposición que tienes a esta historia se debe al equipo y al protocolo que eligiste para manejarlo tú mismo, no a una posición en bolsa. En cuanto al contexto del sector: el mercado de monedas digitales era, aproximadamente…0.72 mil millones en 2026Y se proyecta que llegará a cerca de 2.25 mil millones de dólares para el año 2031.25.6% de crecimiento anual compuestoCon conductores como los que surgen después de FTX, hacia un modelo de autogestión y la formulación de normas según MiCA. En un mercado que crece tan rápido, la reputación es el escudo que protege a las empresas. Este es el tercer caso en el que Trezor sufre fugas de información a terceros.Después de aproximadamente 106,856 clientes en un incidente del año 2022, y hasta 66,000 nombres y correos electrónicos en un compromiso del portal de soporte en el año 2024.Cada vez, el propio monedero lo sostenía. Cada vez, la cuestión de la confianza se complica.

La respuesta de Trezor es clara: está implementando un sistema de entrega “anónima” – recogida en el locker, empaque neutro, y eliminación automática de los identificadores de envío después de la entrega.Con un lanzamiento en Europa programado para septiembre de 2026 y una implementación en los Estados Unidos para finales del año.Se puede entender eso como una forma en que la gerencia reconoce que no puede controlar los límites por sí misma. Ya no puede confiar en un tercer parte para eliminar lo que prometió; por eso, intenta eliminar los datos desde su origen. Es una solución de tipo “producto”, destinada a corregir un problema en el proceso. No admite ningún defecto en el producto… porque las pruebas demuestran que no existía ningún defecto.

La interpretación inocente merece una calificación propia. No se transfirieron fondos de los clientes, no se reconstruyó ningún clave, y el vendedor es quien rompió su promesa. “Los datos que se mantuvieron, según lo prometido, no fueron borrados” no significa “robar dinero”. Además, la retención de datos sin explicación no constituye fraude, a menos que haya pruebas adicionales. Ambos casos requieren evidencia que no existe en la información proporcionada. La brecha es real, pero se trata de una brecha en la confianza y la protección de la identidad, no en la función principal del producto.

Esta es la condición que podría cambiar todo: si las informaciones de mañana indicaran que el material de la clave del dispositivo Trezor está debilitado… tal como ocurrió con la aleatoriedad inicial de Coldcard… entonces esto pasaría de una historia relacionada con filtraciones de identidad a una historia relacionada con pérdidas financieras. La forma en que se presenta esta situación también cambia completamente. Hasta que ese hecho se revele, este caso debe considerarse como una brecha de datos, no como un robo. Las afirmaciones relevantes son la fecha de los registros (2019–2021), las promesas del vendedor de eliminar los datos, y el hecho de que las claves nunca salieron del dispositivo. Para un inversor minorista que posee un Trezor, la pregunta importante no es “¿puedo confiar en el hardware?”, ya que no hay evidencia que lo contradiga. La pregunta real es: “¿qué permití al vendedor conservar, y cómo podría saberlo?” La segunda pregunta ya ha sido respondida, públicamente, a costa de conocer las direcciones de más de 80,000 personas.