Un monedero Trezor comprado al distribuidor CryptoBilis habría ocultado un implante celular que filtraba la frase de recuperación

Los monederos hardware existen para mantener las claves privadas fuera de internet. Un informe que Trezor hizo público el 30 de octubre de 2026 describe un dispositivo que hacía justo lo contrario: un Trezor Safe 5, adquirido a través del distribuidor CryptoBilis en el Sudeste Asiático, con una placa de circuito no autorizada en su interior que presuntamente lee la frase de recuperación en la pantalla y la transmite por la red móvil.

Qué ocurrió

El aviso llegó a Trezor el 28 de octubre, de un cliente en Indonesia que había comprado el monedero en agosto a través del marketplace Tokopedia, en la tienda de CryptoBilis. Al abrir el dispositivo, el cliente encontró una placa adicional encajada entre la placa principal y la pantalla. A juzgar por sus fotos y su descripción, incorpora un módem celular y una antena. El implante parece capturar todo lo que se muestra en pantalla, incluida la copia de seguridad del monedero, que los usuarios de Trezor ven una sola vez como frase de recuperación durante la configuración, y enviarlo cada vez que el dispositivo recibe alimentación por USB.

Trezor todavía no ha tenido el monedero en su propio laboratorio. Ha entrevistado al cliente por videollamada, ha revisado las imágenes y está organizando el envío de la unidad para analizarla. La compañía decidió no esperar a esa confirmación: consideró el informe lo bastante creíble como para que guardar silencio dejara expuestos, mientras tanto, al resto de compradores de CryptoBilis.

Un dato importante: el cliente ya había trasladado sus fondos a otro lugar antes de descubrir la placa, y Trezor afirma que, hasta ahora, ningún comprador de CryptoBilis le ha comunicado pérdidas. Trezor no puede ver lo que guardan sus clientes, así que la ausencia de denuncias no demuestra que no se haya robado nada.

Un patrón, no un caso aislado

No es la primera vez que aparece el nombre de CryptoBilis. Trezor puso fin a su relación con este distribuidor el 9 de octubre, después de que Ledger empezara a investigar pérdidas entre sus propios clientes que habían comprado dispositivos al mismo vendedor. Ledger ha declarado desde entonces que el monedero de al menos un cliente afectado contenía un implante hardware no autorizado, diseñado para capturar la frase de recuperación durante la configuración.

Trezor señala que la placa hallada en el Safe 5 parece comportarse como los implantes detectados en dispositivos Ledger, pero evita hacer una comparación directa mientras continúan las investigaciones, ya que ambos fabricantes construyen su hardware de forma muy distinta. Nadie ha sido identificado públicamente como responsable.

Por otro lado, la Policía de Singapur emitió el 28 de octubre un aviso en el que indica que monederos Ledger comprados en determinadas tiendas físicas de Singapur contenían componentes hardware maliciosos capaces de capturar frases de recuperación o claves privadas. Allí se han registrado al menos dos casos desde el 10 de septiembre y la investigación sigue abierta.

En conjunto, estos indicios apuntan a una operación de manipulación de dispositivos en algún punto de la cadena de distribución minorista del Sudeste Asiático, que afecta a más de un fabricante de monederos.

Por qué importa

Todo el modelo de seguridad de un monedero hardware descansa sobre la premisa de que el propio dispositivo es de confianza. Un implante situado entre el procesador y la pantalla se salta por completo el elemento seguro, las comprobaciones de firmware y el PIN: simplemente observa lo que el dispositivo legítimo muestra al usuario. La frase de recuperación aparece en pantalla una única vez, durante la configuración, y esa sola exposición basta para vaciar todas las cuentas derivadas de ella, ahora o en cualquier momento futuro.

Por eso mismo, restaurar la misma frase en un dispositivo limpio no sirve de nada. Una vez que la frase ha salido de la habitación, el monedero que protege está comprometido, sea cual sea el hardware que se use después.

Trezor insiste además en que los propietarios no pueden comprobar un dispositivo por sí mismos de forma fiable. El cliente indonesio notó una diferencia de peso, pero las pequeñas variaciones tienen muchas causas inocentes, y abrir la carcasa no es ni seguro ni concluyente. Cabe esperar que los estafadores aprovechen la noticia con correos, cartas y llamadas de supuesta "verificación de seguridad" que pidan la frase de recuperación: siempre son fraudulentos.

Qué hacer

Las recomendaciones de Trezor se aplican a cualquier modelo Trezor comprado a CryptoBilis desde marzo de 2026, por cualquier canal que vendiera existencias suministradas por CryptoBilis, incluida su tienda en Tokopedia:

• Si el monedero está en uso, cree un monedero completamente nuevo con una frase de recuperación recién generada y traslade los fondos cuanto antes. No reutilice la frase antigua en ningún sitio.
• Si no dispone de otro monedero hardware de confianza, mueva los fondos temporalmente a un monedero software reputado o a una cuenta de exchange que ya utilice, en lugar de dejarlos donde están.
• Si el dispositivo aún no se ha usado, no lo configure y nunca introduzca en él una frase de recuperación existente.
• Conserve el dispositivo y contacte con el soporte de Trezor; la compañía ofrece una unidad de reemplazo o un vale que cubre su coste.
• Si no sabe con certeza de dónde procede su monedero, compruebe el nombre del vendedor en el recibo o consulte al soporte de Trezor.

Para las organizaciones que custodian criptomonedas o claves en hardware, la lección de fondo es la garantía de la cadena de suministro: compre directamente al fabricante o a un canal verificado, registre la procedencia de cada dispositivo y trate cualquier unidad de origen incierto como comprometida hasta que se demuestre lo contrario. La misma disciplina vale para el software y los proveedores que rodean a esos dispositivos. Nuestros servicios de Bug Hunting incluyen una revisión de la cadena de suministro, que rastrea de dónde proceden los componentes, las dependencias y los terceros de su entorno y dónde podría colarse un atacante, antes de que un eslabón manipulado llegue hasta usted.