¿Han hackeado Trezor? Incidentes de 2024, 2025 y 2026

Los datos de una compra sirven para entregar un paquete; una base de newsletter sirve para enviar comunicaciones; las claves privadas sirven para firmar movimientos. Son superficies distintas. La exposición de nombre, email o domicilio puede facilitar phishing, suplantación y riesgos personales sin revelar por sí misma la frase de recuperación. Decir que no se filtraron claves no convierte una fuga de direcciones físicas en un problema irrelevante.

Esta cronología distingue hechos comunicados, demostraciones de investigadores y sus límites. No atribuye cada pérdida relatada en redes al mismo incidente ni certifica que un dispositivo concreto esté libre de problemas. La pregunta útil para tu caso es qué dato o capacidad se comprometió, si interactuaste con el ataque y qué medida corresponde. Custodia en exchange o wallet propia explica por separado quién controla las claves.

En enero, Trezor comunicó acceso no autorizado al portal de soporte de un tercero. Habló de posible exposición de nombre o alias y correo de hasta 66.000 contactos, y de 41 usuarios contactados directamente por el atacante. Son contactos potenciales y mensajes identificados, no 66.000 wallets vaciadas ni 41 pérdidas verificadas. El alcance comunicado no era una extracción de claves desde los dispositivos.

En marzo, la cuenta oficial de X publicó mensajes fraudulentos tras una campaña de phishing. El comunicado del día 21 describe una falsa invitación y la autorización de una aplicación que permitió publicar en su nombre. Un canal auténtico puede distribuir una estafa cuando se comprometen sus permisos. Trezor indicó que sus productos no quedaron afectados; eso no significa que seguir un enlace fraudulento desde aquella cuenta fuera seguro.

En junio, una respuesta del equipo en el foro oficial explicó mensajes generados al abusar de solicitudes de soporte. Según esa explicación, atacantes introdujeron un asunto fraudulento en una petición para que la víctima recibiera la autorespuesta. La respuesta del 24 de junio indicó que no habían accedido a sistemas, datos o infraestructura interna. Atribuimos esa conclusión a la explicación publicada; no convierte el mensaje recibido en una instrucción legítima.

Por separado, Trezor publicó el 5 de marzo una evaluación de Ledger Donjon sobre Safe 3, reportada originalmente en noviembre de 2024. Se demostraron formas de eludir comprobaciones de autenticidad y hash de firmware bajo un ataque físico especializado. Trezor explicó que los investigadores no extrajeron una clave privada o PIN del dispositivo evaluado y distinguió Safe 5 por su microcontrolador. El hallazgo es real y su alcance no debe borrarse por los incidentes de phishing.

Una demostración de laboratorio necesita analizar modelo, revisión, acceso físico, herramientas y protección restante. No prueba un ataque remoto masivo, pero tampoco permite afirmar que todo hardware es imposible de manipular. Para el propietario, importan procedencia del dispositivo, comprobaciones de autenticidad, software obtenido por vías oficiales y control físico. No instales una supuesta corrección recibida por correo solo porque menciona un hallazgo verdadero.

El 3 de junio se publicaron análisis de Ledger Donjon, Tropic Square y Trezor. Donjon describió inyección láser de fallos para superar la verificación de firmas y ejecutar firmware no autorizado en TROPIC01. El fabricante del chip explicó una investigación ampliada sobre sus límites internos y mitigaciones. Se trata de una vulnerabilidad física real: no es el texto inventado de una campaña de email.

Trezor distingue el chip aislado de su uso en Safe 7 y afirma que comprometerlo por sí solo no permite acceder al PIN, backup ni fondos por las capas independientes del dispositivo. Tropic Square exige acceso físico y equipamiento especializado en el escenario descrito y declaró no tener evidencia de explotación real. Son conclusiones con autor y alcance: no las convertimos en una garantía universal sobre cualquier modelo o ataque futuro.

No confundas las mitigaciones de un fabricante de componentes con instrucciones para actualizar o reparar tú mismo la wallet. Un aviso de chip no demuestra que tu unidad esté explotada ni que una app externa pueda comprobarla introduciendo la semilla. La actuación práctica se decide con el modelo y las instrucciones oficiales del producto, no con un enlace urgente que utiliza palabras como vulnerabilidad o verificación.

Trezor comunicó ShipMonk el 13 de agosto tras recibir aviso el día 10, y amplió el alcance el 4 de septiembre al incluir pedidos antiguos. La FAQ actual fija 80.689 clientes afectados. No sumamos el número inicial y la ampliación como si fueran grupos necesariamente independientes. La exposición de domicilios y teléfonos puede permitir cartas, llamadas y ataques dirigidos; no es solo correo basura. Según Trezor, esta brecha del proveedor no afectó a sus dispositivos ni sistemas.

Brevo sufrió el incidente del 9 de septiembre; Trezor publicó el aviso el día 10 y actualizó el 17 el total de 347.149 contactos exportados. Desde el canal de newsletter se distribuyó un mensaje que invocaba una supuesta vulnerabilidad de entropía STM32 y conducía a una app que pedía el backup. Ese reclamo no demuestra una nueva vulnerabilidad STM32. Trezor habló de 2.500 clics antes de bloquear el destino; un clic no equivale a una pérdida confirmada ni permite calcular víctimas con fondos robados.

• Si solo recibiste un mensaje, no sigas enlaces urgentes ni reveles el backup. Comprueba el aviso abriendo por tu cuenta los canales oficiales.
• Si abriste un enlace o descargaste software, no introduzcas secretos ni conectes la wallet para verificarla; revisa qué instalaste o autorizaste.
• Si revelaste el backup, trátalo como comprometido. La guía oficial indica mover los activos a una wallet con un backup nuevo e independiente mediante un entorno confiable.
• Si hay movimientos no reconocidos, conserva direcciones, TXID, horas y mensajes para soporte y la denuncia que corresponda, sin publicar secretos.

Cambiar el PIN o actualizar firmware no revoca una copia de la frase de recuperación que ya tiene un atacante. No borres tu única forma de acceso antes de preparar y verificar el destino seguro. La respuesta a una exposición requiere comprobar la nueva wallet y sus direcciones, no seguir un “servicio de migración” recibido por mensaje. Retirar a una wallet personal explica controles de red y recepción; seguridad de cuentas cubre el acceso a plataformas por separado.

No hay en estas fuentes un total consolidado de pérdidas atribuibles a todos los episodios. Esa ausencia no demuestra que nadie sufriera phishing, ni autoriza a atribuir una cifra de redes sociales a un hackeo del dispositivo. La conclusión útil es conservar las categorías: datos personales, canal comprometido, engaño y vulnerabilidad física. Esta página reúne la cronología para evitar multiplicar titulares que confundan esos hechos.