El correo electrónico de Trezor “STM32 Entropy” es una estafa que cuenta una historia de verdadero horror.

Abre el correo electrónico. Proviene de una dirección que ya has visto antes. En el asunto del correo se dice “Alerta de seguridad crítica: Vulnerabilidad en la entropía del STM32”. Se afirma que los ingenieros de Trezor han encontrado un defecto en el chip que se encuentra dentro de tu billetera. Cualquier cuarto dispositivo podría estar comprometido, y la frase de recuperación de tu billetera podría no tener suficiente aleatoriedad. El correo termina con un enlace para “corregirlo”. Es urgente, específico y alarmante.

No hagan clic. Ese correo electrónico es un ataque, no una advertencia.

La verdad utilizada como arma

El mensaje es falso, pero su desinformación no es inventada. El proveedor de correo electrónico de terceros utilizado por Trezor fue hackeado, y los atacantes lo utilizaron para enviar el engaño desde la infraestructura legítima de la empresa, de una manera que…Pasó los controles de SPF, DKIM y DMARC.Por lo general, eso indica que el remitente es real. Trezor eliminó el dominio activo y señaló que el correo electrónico no proviene de él. Además, advirtió a los destinatarios que no hagan clic en ningún enlace.Ningún fondo de usuarios ni dispositivos se vieron comprometidos..

Esa es la parte que importa para tu juicio. El susto es más aterrador de lo que debería ser, porque la historia subyacente es real en otro lugar. En un exploit realizado este año, hubo un error en el firmware del fabricante de carteras de Bitcoin, Coldcard.Disminución de la aleatoriedad de las semillas, de 128 bits a tan solo 40 bits.Se deja en estado bruto, sin tocar ningún dispositivo.Las estimaciones del monto total recaudado variaron entre aproximadamente 70 millones de dólares y más de 100 millones de dólares.A través de las “olas” del ataque… El STM32 es la familia de chips que se encuentra en muchos monederos hardware. La entropía, por su parte, es esa aleatoriedad que genera la semilla necesaria para crear el criptoanillo. Las palabras son precisas. La memoria existe realmente. El correo electrónico de phishing simplemente transfiere la imagen de una catástrofe real de un competidor a la marca Trezor, para hacer que su versión falsa parezca auténtica.

Ese es el mecanismo: un phish solo funciona cuando la “pesca” sea lo suficientemente realista como para parecer una alerta real. El atacante que no puede romper el sistema de seguridad del dispositivo omite ese dispositivo y se enfoca en la persona que posee la frase de inicio.

¿Por qué llegó a tu correo electrónico en particular?

Lo más aterrador no es el correo electrónico. Es que el mensaje falso llegó a las personas adecuadas. Esta es la tercera falla de Trezor en relación con terceros en aproximadamente un mes. En agosto, el proveedor ShipMonk divulgó nombres de clientes, números de teléfono y direcciones. A principios de septiembre, Trezor reveló que…Además, 67,000 clientes estadounidenses quedaron expuestos.Los clientes informaron que recibían llamadas telefónicas de desconocidos que conocían su nombre y que poseían una cartera de hardware.Cartas físicas con códigos QR en su interior..

Se ejecuta la secuencia en el orden adecuado, y entonces deja de ser una coincidencia. Los atacantes obtuvieron los datos de contacto de la persona afectada a través de una brecha en el sistema de envío de correos electrónicos. Luego enviaron un correo electrónico de tipo “phishing” desde un remitente en quien confían, mencionando esa vulnerabilidad: la entropía, que ya ha causado problemas a personas reales este año. El dispositivo no tuvo que fallar. La filtración de datos, junto con el dominio del remitente robado, hicieron todo el trabajo. Incluso BitBox, una empresa especializada en creación de monederos, advirtió ese mismo día.Probablemente, el proveedor de boletines informativos de esa empresa fue atacado.El patrón indica una infraestructura de correo electrónico compartida entre varias empresas criptográficas, en lugar de ser un defecto en algún monedero individual.

Lo que realmente puedes controlar esta noche

La función de una cartera de hardware es mantener las claves privadas fuera de Internet. Nada en este incidente cambia la situación para su Trezor, ni para cualquier otra cartera. El correo electrónico es falso, y sus claves nunca estuvieron en riesgo. La vulnerabilidad aquí no está en el chip, sino en esa capa que la cartera no puede superar: tú, quien decides si escribir doce palabras en una página web.

Así que califique el comercio de la misma manera en que se calificaría cualquier estructura de inversión: nombre al punto de salida antes de considerar el punto de entrada.

1. No hagas clic en el enlace. No contestes la llamada.Los fabricantes de billeteras nunca piden tu seed de recuperación.Cualquier mensaje que lo haga es, por definición, un estafa.
2. Solo actúa a través de los canales que tú mismo abres.Ingrese “trezor.io” en el navegador, o utilice la aplicación oficial. Nunca confíe en un enlace que aparezca en un correo electrónico que le haya sorprendido.
3. Si ya has introducido una “semilla” en una página enlazada, ese monedero se quema.Mover los fondos a una cartera nueva con una nueva semilla, de inmediato. No actualizar, no migrar, no “restablecer” – migrar directamente.
4. Al evaluar a cualquier proveedor de carteras de hardwareSe debe tratar la exposición a terceros como un criterio de selección, y no como algo secundario. El chip no es la superficie de ataque que vaciará las carteras de los consumidores en 2026; son los proveedores del vendedor y sus propias reacciones las que determinarán el resultado.

Fecha de vencimiento

Este listado específico expira en el momento en que el dominio de phishing es eliminado y el proveedor que fue atacado se identifica. Eso es simplemente una forma de limpiar el problema, no una solución real. Lo que no expira es lo que está escrito debajo de él: los robos en la cadena de bloques, como el caso de Coldcard, son los temas de atención mediática. Pero las pérdidas que realmente enfrentan la mayoría de los dueños provienen de técnicas de ingeniería social, utilizadas bajo una historia real y con una dirección de remitente prestada.

Antes de tomar cualquier medida de seguridad “urgente” nuevamente, verifique esas tres cosas: ¿el remitente envía los datos a un canal que usted mismo abrió? ¿Alguien está pidiendo el “seed”? Y ¿la vulnerabilidad mencionada realmente existe para su monedero… o solo para el monedero de un competidor? La respuesta a esta última pregunta es la razón por la cual este ataque casi funcionó. También es por eso que ahora sabe que no funcionará.