El fabricante de billeteras de hardware Trezor advirtió a los clientes que compraron sus dispositivos al revendedor CryptoBilis que muevan sus fondos, después de que un comprador reportara haber encontrado un implante de hardware dentro de un Trezor Safe 5, según anunció la empresa el viernes.

Trezor dijo haber recibido un reporte creíble de un implante en un Safe 5 comprado a CryptoBilis en agosto de 2026, aunque aún no ha examinado el dispositivo. Según el reporte, el implante lee la copia de seguridad de la billetera desde la pantalla y la transmite por una red móvil, un comportamiento que la empresa señala como similar al caso de Ledger.

Un cliente en Indonesia reportó el implante a través del programa de divulgación responsable de Trezor el 28 de octubre, según una publicación en el blog de la empresa. El Safe 5 había sido comprado a CryptoBilis a través de la plataforma de comercio electrónico indonesia Tokopedia en agosto de 2026.

En una publicación en X, Trezor dijo:

CryptoBilis update We've been made aware, through responsible disclosure, of a single hardware implant in a Trezor Safe 5 device bought from the reseller CryptoBilis in August 2026. No CryptoBilis buyer has reported a loss of funds to us. IMPORTANT: If you bought a Trezor from… pic.twitter.com/TiaKfHBnX2

— Trezor (@Trezor) October 30, 2026

El reporte describe una placa de circuito adicional instalada entre la placa principal del dispositivo y su pantalla, con un módulo celular y una antena. Según el reporte, que Trezor dijo no haber verificado, la placa lee todo lo que aparece en la pantalla —incluida la copia de seguridad de la billetera— y lo envía por una red móvil cada vez que el dispositivo se conecta.

La manipulación realizada después de que un dispositivo sale de la fábrica y antes de que llegue a su comprador se describe comúnmente como un ataque a la cadena de suministro, un modelo de amenaza distinto para las billeteras de hardware, cuya seguridad depende de que el dispositivo llegue intacto. Un implante como el descrito no necesitaría quebrar ninguna criptografía; solo tendría que capturar lo que el propio dispositivo muestra.

Trezor aún no ha recibido el dispositivo, pero dijo que trata el reporte como creíble basándose en la descripción del cliente y en una entrevista en video. "Lo que hemos visto parece lo suficientemente sofisticado como para que decidiéramos advertir a los clientes ahora", dijo la empresa. "Esperar la confirmación de laboratorio dejaría a los compradores de CryptoBilis expuestos mientras tanto".

Ningún comprador de CryptoBilis ha reportado pérdida de fondos a Trezor, dijo la empresa.

Las billeteras de hardware mantienen las claves privadas del usuario fuera de línea, mientras que la frase de recuperación, una secuencia de palabras generada cuando se configura el dispositivo, puede usarse para restaurar el acceso a los fondos en un dispositivo nuevo. La frase es el elemento más sensible de la configuración: cualquiera que la obtenga puede recrear la billetera en su propio dispositivo y controlar los fondos, y esa exposición no puede revertirse una vez que las palabras han sido vistas.

Trezor instó a cualquier persona que haya comprado una de sus billeteras a CryptoBilis desde marzo de 2026 en adelante a mover sus fondos a una billetera recién creada con una nueva frase de recuperación lo antes posible, y a no reutilizar la frase anterior en ningún dispositivo. Los compradores que aún no hayan configurado su dispositivo no deben usarlo. Los clientes afectados pueden conservar su dispositivo de CryptoBilis y contactar al soporte de Trezor para obtener un reemplazo.

El incidente de CryptoBilis

Trezor eliminó a CryptoBilis como revendedor el 9 de octubre, después de que su competidor, el fabricante de billeteras de hardware Ledger, comenzara a investigar pérdidas entre clientes que compraron sus dispositivos al revendedor del sudeste asiático. Desde entonces, Trezor ha inspeccionado cuatro de sus dispositivos comprados a CryptoBilis —un Safe 7, dos Safe 5 y un Safe 3— y no encontró evidencia de manipulación.

El equipo de seguridad Donjon de Ledger encontró un implante en dispositivos Ledger vendidos a través de CryptoBilis que lee la frase de recuperación de 24 palabras desde la pantalla durante la configuración y la envía por LTE. La publicación del blog de Trezor dice que el implante recién reportado "parece operar de manera similar", aunque la empresa agregó que no hará comparaciones mientras las investigaciones están en curso y no sabe quién está detrás.

Ledger ha dicho que todas las pérdidas confirmadas involucran dispositivos comprados a CryptoBilis, y ha pedido a los revendedores en siete mercados asiáticos que retiren sus dispositivos. Una de las víctimas más grandes fue un estafador que perdió más de 60 BTC, con un valor de aproximadamente 4,8 millones de dólares, según la firma de análisis de blockchain Chainalysis.

Lo que suceda a continuación depende de la evidencia física: una vez que el dispositivo llegue, el examen de laboratorio de Trezor proporcionará la primera verificación directa del reporte del cliente, y las investigaciones de ambos fabricantes siguen abiertas. La advertencia de Trezor se remonta a marzo de 2026, meses antes de que se comprara el dispositivo reportado, por lo que el alcance total de los compradores afectados sigue sin determinarse.

Trezor también ha tenido que advertir a los clientes sobre fallas de socios anteriormente. En agosto, dijo que una brecha en el proveedor de envíos ShipMonk había expuesto los nombres, números de teléfono y direcciones de domicilio de casi 14.000 clientes de Estados Unidos, una cifra que creció otros 67.000 en septiembre.