El fabricante de billeteras de hardware Trezor dijo que reducirá significativamente la cantidad de revendedores autorizados habilitados para vender sus dispositivos, con la eliminación de la lista autorizada vigente a partir del 1 de enero de 2027. La compañía presentó la decisión como "un paso preventivo, tomado con la mayor precaución" en respuesta a los recientes incidentes en la cadena de suministro que afectan a la industria de billeteras de hardware. Los revendedores autorizados son minoristas externos que un fabricante aprueba formalmente para vender sus dispositivos.

El anuncio se realizó en una publicación del martes en X, en la que Trezor afirmó que no existe "ni una sola pieza de evidencia" de que sus dispositivos hayan sido comprometidos.

Following recent supply-chain incidents, we decided to reduce the number of resellers so we can more effectively check those we work with. Let us be very clear: there is not a single piece of evidence that Trezor devices have been compromised. This is a preventive step, taken…

— Trezor (@Trezor) October 13, 2026

El director comercial Danny Sanders dijo que algunos revendedores ya fueron notificados de que serán eliminados de la lista autorizada el 1 de enero de 2027. Agregó que los envíos hacia esos revendedores se detendrían el martes.

Trezor también compartió una carta enviada a socios seleccionados, en la que escribió que una billetera de hardware es "solo tan segura como el camino que recorre para llegar a su dueño". Según la carta, la compañía quiere una red de revendedores lo suficientemente pequeña para poder evaluar a cada socio restante. Quienes permanezcan en el programa enfrentarán un marco legal actualizado y controles más cercanos sobre cómo se obtienen, almacenan y manejan los dispositivos.

To the resellers who helped build Trezor: thank you, and I'm sorry 💔 pic.twitter.com/RK7KBJOshp

— Danny (@Dantoshi) October 13, 2026

Qué ocurrió con Ledger

La decisión llegó días después de que Ledger confirmara que al menos uno de sus dispositivos comprado a un revendedor del sudeste asiático contenía un implante de hardware no autorizado. El revendedor en cuestión es CryptoBilis.

Según los reportes, los implantes fueron soldados a los dispositivos. Capturaban las frases de recuperación de los usuarios y las transmitían a través de redes celulares. Una frase de recuperación es la copia de seguridad maestra de una billetera de autocustodia — una secuencia de palabras a partir de la cual pueden regenerarse todas las claves privadas de una billetera — de modo que cualquiera que la obtenga puede tomar los fondos sin siquiera manipular el hardware. El caso también ilustra cómo opera un ataque a la cadena de suministro: el compromiso ocurre entre la fábrica y el comprador, en el canal físico de distribución y no en el software.

El incidente salió a la luz el 9 de octubre de 2026, cuando se supo que atacantes habrían manipulado dispositivos vendidos a través de un revendedor externo.

CryptoBilis también es un revendedor autorizado de Trezor. Suspendió todas las ventas de billeteras de hardware durante la investigación.

Por separado, la empresa matriz de MediaMarkt dijo que retiró todos los productos de Ledger de sus tiendas físicas y plataformas en línea, y describió la medida como una precaución.

Cuánto se perdió

Los investigadores de blockchain siguen trabajando para medir las pérdidas totales. Una investigación de dos personas sugirió pérdidas de entre 72 y 86 millones de, mientras que otros reportes ubican el total estimado en 93 millones de dólares.

Ledger dijo el martes que no había confirmado el número total de usuarios afectados ni el valor total perdido.

La respuesta de Trezor

Un portavoz de Trezor dijo a Cointelegraph que los controles de configuración de la compañía están diseñados para detectar dispositivos falsificados y firmware modificado. El implante encontrado en el dispositivo de CryptoBilis funciona de manera diferente, señaló el portavoz.

Según el portavoz, el implante no altera el firmware del dispositivo. En cambio, lee la información mostrada en la pantalla y la envía al atacante en un momento posterior. Ese comportamiento queda fuera del modelo de seguridad en el que se basan las billeteras de hardware, el cual asume que los secretos de un dispositivo nunca salen del propio hardware. Trezor dijo que no ha visto este tipo de ataque en sus dispositivos en el mundo real.

La compañía instó a los usuarios a comprar directamente a Trezor y a verificar que el sello del dispositivo esté intacto. También sugirió usar una billetera de firmas múltiples con dispositivos de diferentes fabricantes, de modo que un solo dispositivo comprometido no pueda mover fondos por sí solo.

Un año difícil para las billeteras de hardware

Según los reportes, las empresas de billeteras de hardware han enfrentado casi una docena de incidentes este año, incluyendo filtraciones de datos, divulgaciones de inyección de fallas por láser y un error de entropía en el firmware. La inyección de fallas por láser es una técnica física que usa luz enfocada para inducir errores en un chip y potencialmente eludir sus controles de seguridad, mientras que un error de entropía se refiere a una debilidad en la aleatoriedad de la que depende la generación de claves criptográficas.

Trezor lidió con su propio incidente en agosto, cuando una filtración de datos en un proveedor externo de logística expuso información personal de decenas de miles de clientes.

El desarrollo más reciente es que las eliminaciones de revendedores de Trezor entrarán en vigor el 1 de enero de 2027, casi tres meses después del anuncio. Los investigadores continúan trabajando para determinar la escala total de las pérdidas vinculadas al incidente de Ledger.