La ola de phishing relacionada con Trezor afectó al proveedor, no al cofre de seguridad. Y esa es toda la lección que se puede aprender sobre inversiones.

El miércoles por la tarde, llegó un correo electrónico.347,000 buzones de correo electrónicoParecía que provenía de…help@trezor.ioAsunto del mensaje: “Advertencia de seguridad importante: Vulnerabilidad en la entropía del STM32”. El mensaje informaba a los poseedores de carteras de hardware que su microcontrolador tenía una falla que un hacker podría aprovechar para intentar recuperar la clave de recuperación. Se les pedía que hagan clic en un enlace y descarguen una aplicación “para actualizar” el sistema. La respuesta de Trezor fue breve:El correo electrónico no provenía de ellos.Fue un intento de phishing. El ataque fue transmitido a través del dominio legítimo de Trezor y del proveedor de correos electrónicos de terceros, Brevo.

Antes de que el miedo se propague, hay que clasificar las partes de esta historia. Existe una diferencia entre un fracaso en la criptografía y uno relacionado con la cadena de suministro. La etiqueta correcta determina qué es lo que realmente debe preocupar a los inversores. Según las pruebas publicadas por Trezor, el dispositivo funcionó sin problemas: no se tocó ningún monedero, cuenta o sistema de producto relacionado con Trezor.– Solo el sistema de envío de boletines informativos.Ese estaba sentado junto a ellos.

La exhibición: una lista de vendedores, no un tesoro escondido.

El fraude utilizó Brevo, una plataforma de marketing por correo electrónico con sede en París. Trezor depende de Brevo para la entrega de boletines informativos, la gestión de listas de contactos y el proceso de cancelación de suscripciones. En su análisis posterior, Brevo describió cómo ocurrió el ataque: los intrusos robaron las credenciales de acceso de los usuarios legítimos y expandieron su acceso a través de una vulnerabilidad del sistema. El proveedor dijo inicialmente que 120 de sus cuentas de clientes habían sido afectadas, pero luego corrigió esa cifra.138 en su informe postmortem; se utilizaron seis de esos registros para enviar correos electrónicos fraudulentos a los contactos almacenados. Además, se exportaron contactos desde 43 registros.Trezor, BitBox y CoinTracking: tres empresas de criptomonedas que utilizan el mismo proveedor. Todos confirmaron que sus suscriptores fueron atacados en la misma operación coordinada.

Para el Trezor, la superficie expuesta era su base de datos de boletines opt-in, que constaba de aproximadamente347,000 direcciones de correo electrónico, que la empresa ahora considera conocidas por el atacante.Trezor dice que sus propios sistemas no fueron comprometidos, y que la plataforma de Brevo no alberga ningún contraseña, datos del monedero ni información personal.

El detalle operativo importante es la ventana de respuesta. Trezor indica que el dominio malicioso fue eliminado en el nivel DNS en menos de 20 minutos, lo cual impidió que el enlace funcionara para la mayoría de los usuarios.Aproximadamente 2,500 personas habían hecho clic antes de que se eliminara el contenido.Trezor suspendió su cuenta Brevo para evitar más envíos de correos electrónicos. También está revisando sus relaciones con proveedores y los requisitos de seguridad relacionados con ellos.

Este es el segundo caso de violación por parte de un proveedor de Trezor en menos de un mes. La empresa adopta una postura correspondiente a esto. En agosto, los atacantes aprovecharon una vulnerabilidad crítica relacionada con injerencias SQL en la herramienta de análisis Metabase utilizada por ShipMonk, el proveedor logístico de Trezor. Una banda de extorsionistas exigió dinero al proveedor como recompensa por no informar sobre la vulnerabilidad. Esa violación reveló…Aproximadamente 81,000 clientes.Nombres, direcciones de correo electrónico, números de teléfono y direcciones de envío: un total inicial de aproximadamente 11,700.Más 67,000 clientes en los Estados Unidos.Se reveló una semana antes del incidente relacionado con el correo electrónico. En 2024, Trezor ya había tenido problemas con un portal de soporte de terceros que fue violado.

Qué tipo de violación por parte del vendedor no es…

La interpretación honesta de este incidente es casi lo contrario a lo que dice el correo de advertencia. La estrategia de phishing se basaba en una premisa técnica que parecía creíble: una falla técnica en el microcontrolador STM32 que podría permitir que las semillas de recuperación fueran descubiertas mediante ataques de fuerza bruta. Pero el diseño de almacenamiento del dispositivo es precisamente lo que no falló. En un monedero de hardware que funcione correctamente, las semillas de recuperación se generan y se guardan en el dispositivo, y nunca viajan por Internet. Un correo de phishing no puede obtenerlas. La vulnerabilidad que el correo señalaba era precisamente algo que el dispositivo está diseñado para evitar.

Así que el daño real no es de tipo criptográfico, y no se trata de un robo de fondos en el sentido habitual. Se trata de un ataque contra la confianza que los usuarios tienen en las carteras digitales. Esa confianza es la base económica de toda la categoría de carteras digitales. Una cartera digital es, básicamente, un dispositivo de hardware que vale alrededor de cien dólares. La ventaja de este producto no es su valor físico, sino la convicción del cliente de que la empresa y sus sistemas son custodios confiables de un secreto que podría destruir toda su economía.

Por eso, la cadena de proveedores, y no el propio chip, es la verdadera fuente de riesgo para este sector. La ola de incidentes de terceros en 2026 afecta a todos los aspectos relacionados con el dispositivo: el proveedor de envíos con su nombre y dirección, la plataforma de correo electrónico con su buzón de entrada, el portal de soporte técnico con sus datos de cuenta. Cada uno de estos elementos contribuye a crear comunicaciones falsas que engañen al usuario y a su moneda digital. El criminal no necesita romper la criptografía para obtener valor; es mucho más fácil hacer que la víctima introduzca su clave en una comunicación falsa convincente.

¿Por qué un inversor minorista debería preocuparse en absoluto?

Trezor, el pionero de esta categoría, es una empresa privada, propiedad de SatoshiLabs. Por lo tanto, no existe un precio específico para comprarla, ni un valor que vigilarse. El valor de inversión de Trezor sirve como referencia para este sector, que ahora está en proceso de acceder a los mercados públicos. Ledger, el mayor competidor de Trezor, ha contratado bancos de inversión para explorar la posibilidad de cotizar en los mercados estadounidenses, lo cual podría aumentar el valor de la empresa.Más de 4 mil millones de dólaresEs más del doble del precio de la ronda de financiamiento de 2023, que era de 1.5 mil millones de dólares. Si y cuando la economía de las carteras digitales llegara a los mercados públicos, lo que realmente importará no será el volumen de ventas, sino la durabilidad de la confianza de los clientes: cuántos clientes todavía creen, después del tercer caso de brecha en cuatro semanas, que es valioso guardar sus ahorros en un dispositivo de plástico y metal.

Por esa razón, este incidente es una herramienta útil, precisamente porque el camino del miedo es el más fácil, mientras que el camino de las pruebas no lo es. La situación positiva para el sector –la creciente demanda de custodia propia en un régimen criptográfico que se encuentra en una etapa neutra o inicial (el índice de miedo/avaricia es de 56, y Bitcoin cotiza cerca de los $77,400, muy por debajo de su máximo histórico de unos $125,500 en 52 semanas–) no se ve afectada por correos electrónicos fraudulentos. Las repetidas infracciones por parte de los proveedores son un verdadero obstáculo para la confianza en el sector, pero son solo obstáculos, no cambios en las leyes físicas.

Condición de pausa

El hecho que podría anular esta interpretación es el siguiente: si alguno de estos incidentes generara evidencia de que las semillas de recuperación o las claves privadas realmente habían sido expuestas en escala significativa, o si Trezor tuviera que revelar que sus propios sistemas —no los del proveedor— habían sido comprometidos, entonces se cumpliría la condición para la ruptura de confianza, y la teoría de que “la confianza sigue intacta” quedaría anulada, no retrasada. Nada en las declaraciones de Brevo indica que esto haya ocurrido. El diseño del dispositivo se mantuvo intacto; lo que se reveló tras el compromiso fueron los metadatos de contacto y un momento de pánico en 2,500 buzones de correo.

Hasta que se presente esa condición de interrupción, hay que tratar el incidente según lo indican los registros: se trata de una violación por parte del proveedor, documentada en detalle, que dañó el activo blando, la confianza, sin afectar al activo duro, las claves. Esa distinción es la lección principal para invertir: y puede verificarse en minutos, abriendo la información proporcionada por Trezor y leyendo qué afirma y qué no afirma.