Trezor informó el viernes que otros 67,000 clientes estadounidenses quedaron involucrados en la filtración de datos de su proveedor de envíos, ShipMonk, que el fabricante de billeteras físicas reveló por primera vez el mes pasado.

Los registros recién identificados corresponden a pedidos realizados entre noviembre de 2019 y agosto de 2021, por lo que algunos tienen casi siete años de antigüedad. ShipMonk comunicó el hallazgo a Trezor hace dos días.

Los datos expuestos incluyen nombres, direcciones de correo electrónico, números de teléfono, domicilios y números de pedido. Trezor señaló que había solicitado y recibido repetidamente confirmación por escrito de ShipMonk de que esos registros habían sido eliminados, conforme a su contrato y política de datos, y expresó su decepción al enterarse de que no fue así. El episodio recuerda que incluso las empresas cuya propia seguridad está intacta pueden verse expuestas a través de proveedores externos; en este caso, un proveedor de logística que conservó registros de clientes mucho más tiempo de lo que permitía su contrato.

Two days ago, we received an update from our shipping provider, ShipMonk. We're deeply saddened to share the news that the recent data breach affects more customers than originally thought. Another 67,000 customers from the US who ordered between November 2019 and August 2021…

— Trezor (@Trezor) September 4, 2026

Cuando Trezor reveló la filtración en agosto, atribuyó su alcance limitado a una política de eliminación de 90 días que, según dijo, había negociado incluir en los términos de sus socios de logística. Esa afirmación ahora se ve considerablemente más débil: el número de clientes afectados creció de 13,689 a aproximadamente 80,700. Es común que las revelaciones de filtraciones crezcan con el tiempo, a medida que las investigaciones descubren sistemas comprometidos o datos retenidos adicionales, por lo que siguen siendo posibles más actualizaciones.

Los propietarios de billeteras enfrentan múltiples amenazas

Los sistemas propios de Trezor no fueron vulnerados, y los dispositivos, las claves privadas y las copias de seguridad de las billeteras permanecen intactos. El peligro, según señala la empresa, es que los registros identifican a propietarios confirmados de billeteras físicas en domicilios específicos. Además de advertir sobre correos electrónicos, llamadas y cartas falsas, Trezor alertó a los clientes afectados sobre riesgos para su seguridad física y reiteró que una copia de seguridad de billetera nunca debe compartirse ni escribirse en un sitio web.

Los propietarios tanto de Trezor como de su competidor Ledger ya venían recibiendo en febrero cartas falsificadas, impresas con hologramas, códigos QR y firmas ejecutivas falsas, en las que se les exigía activar un ficticio control de seguridad o perder el acceso a sus billeteras. El propio Ledger sufrió una importante filtración de datos de su tienda en línea en 2020, que expuso los datos personales de casi un millón de clientes y fue seguida de años de phishing y amenazas en su contra, un precedente que ilustra cuánto tiempo pueden seguir alimentando ataques los datos robados de compradores.

En aquel momento, el consultor en ciberdelitos David Sehyeon Baek dijo a Decrypt que una carta que incluye un nombre y un domicilio señala "podemos localizarte", y que los datos robados siguen siendo útiles durante años porque las personas rara vez se mudan o cambian su número de teléfono.

La intrusión se remonta a una falla crítica de inyección SQL en la herramienta de análisis Metabase, divulgada el 6 de agosto, que permitió a atacantes no autenticados robar credenciales de las bases de datos conectadas. El fabricante de computadoras portátiles Framework y el creador de formularios Tally fueron alcanzados por la misma ola de ataques, lo que muestra cómo una sola vulnerabilidad en un software de uso extendido puede propagarse a los datos de muchas empresas. Según informes, ShipMonk recibió correos de extorsión atribuidos al grupo ShinyHunters, aunque esa atribución sigue sin confirmarse.

Trezor señaló que está trabajando para ofrecer entregas anónimas lo antes posible, una opción que utiliza recogida en casilleros, empaques neutros y datos genéricos del remitente, de modo que los compradores no tengan que proporcionar su domicilio en absoluto.