El fabricante de billeteras de hardware Trezor ha recortado su red de revendedores autorizados en aproximadamente el 80% tras descubrir implantes de hardware maliciosos en tres billeteras cripto Safe 5. Junto con la reestructuración, la compañía lanzó una actualización de firmware destinada a impedir que los implantes capturen información sensible de las billeteras.

En una actualización de la investigación publicada el 12 de noviembre de 2026, Trezor confirmó que los tres dispositivos comprometidos provenían de CryptoBilis, un ex revendedor del sudeste asiático. Aunque ningún cliente ha reportado pérdida de criptomonedas, la compañía continúa recomendando mover los fondos a billeteras recién creadas. Trezor detalló sus hallazgos en una actualización oficial de la investigación.

Tres billeteras comprometidas confirmadas

Los implantes se encontraron en unidades Safe 5 compradas entre el 20 de agosto y el 23 de septiembre de 2026, ya sea directamente a CryptoBilis o a través de sus tiendas en los mercados Tokopedia y Shopee. Trezor examinó físicamente una billetera comprometida en su laboratorio e identificó los dos implantes restantes a partir de fotografías enviadas por clientes.

Después de que Trezor emitió su advertencia inicial en octubre, 48 clientes de CryptoBilis contactaron a la compañía para solicitar asistencia. Los investigadores no han encontrado evidencia de manipulación en dispositivos comprados a otros revendedores ni en otros modelos de Trezor, aunque la investigación continúa en curso.

Cómo los implantes obtienen los datos de la billetera

El componente malicioso es una tarjeta de circuito adicional instalada entre la placa principal del Safe 5 y su pantalla. Captura de manera encubierta la información mostrada en pantalla, incluyendo frases de recuperación y contraseñas de la billetera, luego cifra los datos robados y los transmite por una red móvil a un servidor controlado por atacantes. Si la conectividad falla, el implante almacena los datos e intenta transmitirlos más tarde.

Una frase de recuperación es la copia de seguridad principal de una billetera de hardware: puede regenerar las claves de la billetera en cualquier dispositivo compatible, lo que significa capturarla equivale a capturar el control de los fondos que protege, incluso si el dispositivo nunca vuelve a usarse.

Cabe destacar que el implante no modifica el firmware original ni el Elemento Seguro de la billetera, es decir, los componentes de seguridad centrales del dispositivo permanecen intactos — un detalle que hace que el ataque sea particularmente preocupante, ya que la modificación opera fuera del núcleo criptográfico que esos componentes protegen, capturando lo que muestra la pantalla en lugar de alterar las operaciones internas de la billetera.

Corrección de firmware y controles más estrictos en la cadena de suministro

Trezor lanzó el firmware versión 2.13.1 el 11 de noviembre para bloquear que los implantes identificados capturen información adicional. Debido a que la actualización no puede proteger frases de recuperación que los atacantes ya puedan haber obtenido, la compañía recomienda a los clientes de CryptoBilis transferir sus criptomonedas a billeteras nuevas con frases de recuperación recién generadas. Las dos medidas abordan riesgos distintos: el parche de firmware detiene más capturas una vez instalado, mientras que la billetera nueva protege los fondos si una frase de recuperación ya fue expuesta. Los clientes que compraron dispositivos Trezor a CryptoBilis desde marzo de 2026 también califican para reemplazos.

En paralelo, Trezor ha eliminado aproximadamente cuatro quintas partes de su red de revendedores e introducido requisitos más estrictos para el abastecimiento, almacenamiento y manejo de dispositivos. La compañía enfatizó que los socios eliminados no eran necesariamente amenazas de seguridad; la reestructuración busca fortalecer la protección de la cadena de suministro y reducir oportunidades de manipulación de hardware en el futuro. Para los compradores, el episodio recuerda que la seguridad de una billetera de hardware depende no solo de su criptografía, sino del camino físico que recorre un dispositivo desde la fábrica hasta el comprador — un camino que, cuando pasa por vendedores externos y tiendas en marketplaces, queda fuera de la supervisión directa del fabricante.