Trezor reportó tres monederos Safe 5 manipulados que podían capturar frases de recuperación y contraseñas. La actualización de firmware bloquea la captura por los implantes identificados, pero quienes compraron a CryptoBilis deben crear un monedero nuevo y trasladar sus fondos.
***

• Trezor reportó tres Safe 5 alterados, todos comprados a CryptoBilis entre el 20 de agosto y el 23 de septiembre.
• El firmware 2.13.1 bloquea la captura por los implantes identificados, pero no revierte la exposición de frases registradas previamente.
• La empresa redujo cerca de 80% su red de distribuidores y ofrece opciones de reemplazo para compras a CryptoBilis desde marzo.

Trezor detecta tres Safe 5 manipulados y endurece su red de distribuidores

El hallazgo y el alcance de la alerta

Trezor informó el 12 de noviembre que tres dispositivos Safe 5 comprados a CryptoBilis, antiguo distribuidor autorizado en el sudeste asiático, contenían implantes de hardware no autorizados. La compañía publicó una alerta sobre el implante reportado en un dispositivo vendido por CryptoBilis. También anunció una actualización de firmware y controles más estrictos para sus canales de venta, en respuesta a la investigación. El fabricante dijo que no había recibido avisos de clientes que hubieran perdido fondos a causa de estos dispositivos.

Los tres equipos se adquirieron entre el 20 de agosto y el 23 de septiembre, directamente a CryptoBilis o mediante sus tiendas en Tokopedia y Shopee. Trezor examinó en su laboratorio el primer implante detectado en un Safe 5 y, después, identificó otros dos a partir de fotografías que enviaron los propietarios. La compañía indicó que 48 clientes se habían puesto en contacto con ella y que revisaba sus equipos en el laboratorio o mediante imágenes internas.

La investigación se limitó a los Safe 5 vinculados con CryptoBilis, según el informe de la empresa. Las comprobaciones de dispositivos adquiridos a otros distribuidores regionales no revelaron manipulaciones, y Trezor no informó de implantes confirmados en otros modelos. Esta precisión importa para entender el alcance de la alerta: el hallazgo no equivale a una vulnerabilidad confirmada en todos los productos de la marca.

El incidente tampoco se describió como una falla del software habitual del monedero. El implante estaba dentro del equipo y podía observar información mostrada en su pantalla sin modificar el firmware ni el Secure Element, el chip dedicado a funciones de seguridad. Por eso, la respuesta de la empresa combinó una actualización de software con instrucciones dirigidas a quienes pudieron haber configurado sus dispositivos manipulados.

Cómo operaba el implante oculto

El componente no autorizado estaba ubicado entre la pantalla y la placa principal, que conecta los componentes electrónicos del dispositivo. De acuerdo con el análisis de Trezor, la placa añadida copiaba la información visible en la pantalla sin alterar el firmware del equipo ni el Secure Element. La técnica aprovechaba así el momento en que el usuario introducía secretos en el dispositivo, en vez de modificar directamente el funcionamiento del monedero.

Entre los datos que el implante podía registrar estaban las palabras de recuperación introducidas al crear o restaurar un monedero. También podía capturar frases de contraseña, un secreto adicional opcional que permite acceder a monederos independientes asociados a una misma frase de recuperación. La diferencia entre ambos datos es relevante: una frase de recuperación expuesta puede comprometer el acceso al monedero, y la frase de contraseña puede proteger otro acceso adicional.

El implante cifraba la información capturada y la enviaba mediante una red móvil a un servidor controlado por los atacantes. Si el dispositivo no encontraba señal, almacenaba los datos y volvía a intentar la transferencia hasta completarla, según el análisis de la compañía. La ausencia de conexión en un primer momento, por tanto, no impedía que el componente siguiera intentando transmitir la información posteriormente.

Trezor señaló que el método era similar al de implantes hallados en algunos dispositivos Ledger. En ese caso, los atacantes compraron equipos auténticos, los modificaron y volvieron a venderlos mediante distribuidores del sudeste asiático; en octubre, Ledger confirmó un implante de hardware no autorizado en el monedero de un cliente afectado. La comparación describe una táctica semejante, pero no amplía los hallazgos confirmados de Trezor más allá de los Safe 5 asociados con CryptoBilis.

La actualización no elimina la exposición anterior

Trezor lanzó el firmware 2.13.1 el 11 de noviembre y afirmó que la versión impide que los implantes identificados capturen información al actualizar el software que ejecuta el dispositivo. La medida apunta a bloquear la operación de esos componentes, pero no recupera ni vuelve secretas las frases que pudieron haber registrado antes de la instalación. Esa diferencia explica por qué la empresa mantuvo sus recomendaciones para los compradores afectados incluso después de publicar la actualización.

Quienes compraron a CryptoBilis deben trasladar sus fondos a un monedero recién creado, según las instrucciones divulgadas por Trezor. Cambiar únicamente el dispositivo y reutilizar la misma frase de recuperación no elimina el riesgo si esa copia de seguridad ya fue capturada. La medida recomendada busca que los activos queden bajo credenciales nuevas, en lugar de depender de secretos que pudieron quedar expuestos durante la configuración anterior.

La empresa aconsejó a los propietarios que sospechen que su dispositivo fue manipulado conservarlo y evitar configurarlo o utilizarlo hasta recibir instrucciones del servicio de asistencia. Ese paso permite que el equipo siga disponible para una revisión y evita que el usuario confíe en un dispositivo cuya integridad aún no está confirmada. Trezor también pidió a quienes tuvieran dudas que verificaran el origen de su compra.

La compañía no comunicó pérdidas de fondos atribuidas a los implantes, pero esa ausencia de avisos no cambia la recomendación preventiva para los compradores de CryptoBilis. La posible exposición concierne a información capaz de dar acceso a los monederos, por lo que la respuesta se centra en sustituir las credenciales y no solo en actualizar el aparato. El firmware soluciona el comportamiento identificado, pero no borra la información que el implante pudo haber transmitido.

Reemplazos, distribuidores y advertencias contra estafas

Trezor anunció que redujo aproximadamente 80% su red de distribuidores. La empresa ya había comunicado planes de reducción en octubre y ahora describió a los socios retirados como de confianza y sin una amenaza inmediata, mientras exige a los vendedores restantes controles más estrictos sobre abastecimiento, almacenamiento y acceso a los dispositivos. El cambio busca reforzar la supervisión de la cadena de distribución después del hallazgo.

La posibilidad de reemplazo cubre todos los modelos comprados a CryptoBilis desde marzo, de acuerdo con las condiciones informadas por la empresa. Las restricciones de envío pueden llevar a ofrecer un modelo diferente con reembolso de la diferencia de precio, enviar el producto a otro país o tramitar un reembolso. Trezor indicó que las solicitudes deben gestionarse mediante su servicio de asistencia oficial, no a través de contactos informales.

La compañía advirtió que estafadores podrían hacerse pasar por empleados para ofrecer reemplazos o devoluciones de dinero. Las suplantaciones pueden llegar por correo electrónico, cartas físicas o llamadas telefónicas. Trezor también reiteró que nunca pide a sus clientes la frase de recuperación, una advertencia crucial porque entregar ese secreto puede poner en riesgo los fondos incluso si el dispositivo físico es auténtico. Los usuarios con una consulta deben acudir al canal oficial y evitar compartir sus credenciales con quien prometa acelerar el proceso.

Trezor dijo que continúa colaborando con SEAL 911, el servicio de respuesta de emergencia de la Security Alliance para incidentes relacionados con criptomonedas. La empresa también prometió una recompensa al cliente que informó primero sobre el implante. Mientras avanza la revisión de los dispositivos reportados, sus indicaciones distinguen entre actualizar el firmware para bloquear la captura y crear un monedero nuevo para dejar atrás una frase que pudo haber sido comprometida.

Imagen original de DiarioBitcoin, creada con inteligencia artificial, de uso libre, licenciada bajo Dominio Público.

Este artículo fue escrito por un redactor de contenido de IA y revisado por un editor humano para garantizar calidad y precisión.

ADVERTENCIA: DiarioBitcoin ofrece contenido informativo y educativo sobre diversos temas, incluyendo criptomonedas, IA, tecnología y regulaciones. No brindamos asesoramiento financiero. Las inversiones en criptoactivos son de alto riesgo y pueden no ser adecuadas para todos. Investigue, consulte a un experto y verifique la legislación aplicable antes de invertir. Podría perder todo su capital.

Suscríbete a nuestro boletín