El fabricante de billeteras de hardware Trezor emitió una advertencia temprana a los clientes que compraron dispositivos al revendedor CryptoBilis, señalando que un informe sobre un implante de hardware dentro de un Trezor Safe 5 es lo suficientemente creíble como para actuar antes de completar la inspección de laboratorio. Según la divulgación de Trezor, cualquier persona que haya comprado un Trezor a CryptoBilis desde marzo de 2026 en adelante debe mover los fondos del dispositivo a una billetera generada con una nueva frase semilla.

La compañía se pronunció el 30 de octubre de 2026. Su equipo de seguridad recibió el informe el 28 de octubre. La presentación alega que un implante de hardware fue incrustado en un Trezor Safe 5 que el comprador adquirió a CryptoBilis en agosto de 2026 a través del mercado indonesio Tokopedia. Trezor aún no ha examinado físicamente la unidad, pero dijo que considera creíble el relato del cliente, respaldado por una entrevista en video. Optó por advertir a los compradores ahora en lugar de esperar la confirmación de laboratorio. Hasta ahora, ningún cliente de CryptoBilis ha reportado pérdidas de fondos a Trezor.

Qué afirma el informe del implante

La divulgación de Trezor describe una placa de circuito adicional colocada entre la placa principal del Safe 5 y su pantalla. La placa contiene un módulo celular y una antena. Según el informe, el presunto implante lee todo lo que muestra la pantalla, incluida la copia de seguridad de la billetera, y transmite esos datos por una red móvil cuando el dispositivo se conecta. La copia de seguridad en cuestión es la frase semilla: la secuencia de palabras generada al configurar una billetera de hardware que, por sí sola, es suficiente para recrear la billetera y gastar desde ella en otro dispositivo. Si la descripción es exacta, un implante de este tipo expondría el único elemento que controla completamente la billetera.

Trezor señaló que la configuración se asemeja a los implantes encontrados en dispositivos Ledger vendidos por el mismo revendedor, pero agregó que no confirmará esa conexión mientras continúan las investigaciones.

El informe fue presentado a través del programa de divulgación responsable de Trezor por un cliente en Indonesia. Ese cliente ya había movido sus fondos fuera del dispositivo antes de descubrir el implante. Trezor agradeció al informante y a SEAL 911, el servicio de respuesta a emergencias de la Security Alliance, ambos de los cuales ayudaron con el caso y con el soporte a los compradores afectados.

Por qué todos los compradores de CryptoBilis están dentro del alcance

CryptoBilis fue un revendedor oficial de Trezor en el sudeste asiático hasta octubre de 2026. El 9 de octubre, Ledger comenzó a investigar pérdidas de fondos entre clientes que compraron dispositivos al revendedor, y luego afirmó que algunos de esos dispositivos habían sido alterados físicamente. Como CryptoBilis también vendía productos Trezor, Trezor terminó la relación con el revendedor el mismo día y comenzó a revisar los dispositivos de los clientes.

El informe del 28 de octubre es, según Trezor, el primero que recibe que sugiere un posible implante en una de sus propias unidades de ese canal de venta. La compañía dijo que su recomendación cubre todos los modelos de Trezor comprados a CryptoBilis, no solo el Safe 5 mencionado en el informe. No ha recibido reportes que involucren a ningún otro revendedor.

El caso destaca cómo la promesa de seguridad de una billetera de hardware sellada sigue dependiendo de quién manipuló el dispositivo antes de que llegara al comprador. Quedan dos preguntas abiertas: si la inspección de laboratorio del Safe 5 reportado confirma el relato del cliente y a qué conclusiones llegan las investigaciones en curso sobre los implantes reportados en dispositivos Ledger vendidos por el mismo canal.

Qué deben hacer los compradores afectados

Trezor recomendó a cualquier persona que haya comprado un Trezor a CryptoBilis desde marzo de 2026 en adelante, y que tenga fondos en el dispositivo, que los mueva lo antes posible a una billetera recién creada con una nueva semilla. Restaurar la antigua copia de seguridad en otro dispositivo no elimina el riesgo, ya que la semilla puede haber quedado expuesta en una unidad alterada. Los compradores sin una segunda billetera de hardware segura pueden estacionar los fondos temporalmente en una billetera de software o en un exchange de confianza, y deben verificar la dirección de recepción completa antes de enviar.

La compañía también instruyó a los compradores a no configurar dispositivos sin abrir de ese canal y a nunca ingresar copias de seguridad de billeteras existentes en ellos. Trezor enfatizó que su equipo de Soporte nunca pedirá una frase de recuperación. Además advirtió que los estafadores probablemente aprovecharán la noticia para phishing, con correos electrónicos, cartas y llamadas telefónicas falsas que ya representan un riesgo.

Los compradores afectados de CryptoBilis siguen siendo elegibles para recibir un nuevo Trezor enviado directamente o un cupón de reemplazo. Deben conservar el dispositivo de CryptoBilis y contactar al Soporte.