El fabricante de billeteras de hardware Trezor ha revelado una vulneración de datos en su proveedor logístico, ShipMonk, que expuso la información personal de aproximadamente 13,700 clientes en siete países.

Trezor, operado por SatoshiLabs con sede en Praga, es una de las marcas de billeteras de hardware más reconocidas en la industria de las criptomonedas, junto con competidores como Ledger. El incidente subraya un desafío recurrente para el sector: incluso cuando los dispositivos criptográficos en sí permanecen seguros, los datos de los clientes en poder de proveedores y socios de cumplimiento pueden convertirse en un objetivo de alto valor. En 2020, Ledger sufrió una importante vulneración de su base de datos de comercio electrónico que expuso los datos personales de aproximadamente 270,000 clientes, lo que provocó campañas generalizadas de phishing y reportes de cartas de extorsión física enviadas a los usuarios afectados.

La empresa describió el incidente actual como la primera exposición de números de teléfono y direcciones de envío de clientes desde su fundación en 2013. Las personas afectadas son nuevos clientes en Estados Unidos, Reino Unido, Suecia, Colombia, Brasil, Italia y Portugal que recibieron pedidos dentro de los 90 días previos al 8 de agosto de 2026.

Según Trezor, actores no autorizados obtuvieron acceso a los sistemas de ShipMonk alrededor del 10 de agosto de 2026, comprometiendo registros de pedidos que contenían nombres completos, direcciones de envío, números de teléfono y direcciones de correo electrónico. De los afectados, 11,742 clientes experimentaron exposición completa de las cuatro categorías de datos, mientras que 1,947 clientes adicionales enfrentaron una exposición parcial limitada al nombre, ciudad y correo electrónico.

Trezor enfatizó que sus propios sistemas internos y dispositivos de hardware no fueron comprometidos. El alcance de la vulneración estuvo limitado por una política de retención de datos de 90 días que requiere a los socios de cumplimiento eliminar o anonimizar los registros de pedidos después de la entrega.

"Tenemos algunas noticias difíciles de compartir", declaró Trezor en su anuncio original. "Lamentablemente, uno de nuestros proveedores de envío ha sufrido una vulneración de datos que expuso información confidencial de pedidos."

https://x.com/Trezor/status/2087885428313543059

Todos los usuarios afectados han sido contactados directamente por correo electrónico. Trezor advirtió que los datos personales filtrados podrían permitir campañas de phishing más sofisticadas, con atacantes que potencialmente podrían suplazar a bancos, exchanges de criptomonedas o al propio Trezor para extraer información confidencial de los clientes. Saber que una persona ha comprado una billetera de hardware permite a los atacantes adaptar sus intentos de ingeniería social con un mayor grado de credibilidad, una táctica observada tras incidentes similares en otros proveedores de billeteras.

Envío Anónimo y Medidas de Privacidad Mejoradas

En respuesta al incidente, Trezor está acelerando el lanzamiento de un servicio de "Envío Anónimo" diseñado para romper el vínculo entre las compras de billeteras de hardware y las identidades reales de los clientes. La función, cuyo lanzamiento está previsto en la Unión Europea para septiembre de 2026 y en Estados Unidos para fin de año, introducirá un flujo de pago dedicado que permitirá a los usuarios registrarse bajo un apodo o identificador de etiqueta, recoger paquetes en casilleros automatizados y recibir pedidos en empaques sin marca con etiquetas de remitente genéricas. Las transportistas comunicarán los códigos de recogida exclusivamente por correo electrónico o SMS, y los identificadores de envío se eliminarán automáticamente después de la entrega.

Trezor aconsejó a todos los clientes mantenerse alerta contra intentos de phishing por correo electrónico, teléfono o correo postal, y nunca ingresar las frases de recuperación de la billetera en sitios web ni compartirlas con terceros.

La empresa confirmó que ShipMonk ha asegurado los sistemas afectados y ha fortalecido su postura de seguridad tras el incidente. Trezor continúa investigando todas las circunstancias surrounding la vulneración.