- 1. Un implante entre la pantalla y la placa base
- 2. La cronología: Ledger abrió la alerta el 9 de octubre
- 3. El eslabón débil es la cadena de suministro, no el chip
- 4. Qué hacer si compraste un Trezor en CryptoBilis desde marzo
- 5. La contracara: cero pérdidas y cuatro dispositivos limpios
- 6. La siguiente señal
- 7. Preguntas frecuentes
Un solo dispositivo. Cero pérdidas confirmadas. Y, aun así, una advertencia inmediata para quien haya comprado una billetera Trezor a un revendedor del sudeste asiático. Este viernes 30 de octubre, Trezor comunicó que trata como creíble el reporte del primer implante de hardware en un Safe 5 vendido por CryptoBilis —el distribuidor que retiró de su red de revendedores el 9 de octubre— y pidió a los compradores desde marzo de 2026 que muevan sus fondos a una billetera nueva con una frase de respaldo nueva.
La fuente es el propio blog de la compañía. En el aviso publicado por Trezor este 30 de octubre, el equipo de seguridad detalla que recibió el reporte el 28 de octubre a través de su programa de divulgación responsable y que, «según la descripción del cliente y una entrevista por video», lo trata como creíble aunque todavía no ha recibido el dispositivo para examinarlo.
CryptoBilis update — We’ve been made aware, through responsible disclosure, of a single hardware implant in a Trezor Safe 5 device bought from the reseller CryptoBilis in August 2026. No CryptoBilis buyer has reported a loss of funds to us.
— Trezor (@Trezor) October 30, 2026
Un implante entre la pantalla y la placa base
El reporte describe una placa de circuito adicional colocada dentro del Safe 5, entre la placa principal y la pantalla, con un módulo celular y una antena. Según el reporte —que Trezor aclara no haber verificado por sí mismo—, la placa lee lo que muestra la pantalla, incluida la frase de respaldo, y la envía por una red móvil cada vez que el dispositivo se conecta.
El vector importa porque no ataca el chip seguro del dispositivo: ataca la pantalla, el punto donde el usuario y la billetera se comunican. «Este implante parece funcionar de forma similar a los vistos en los dispositivos Ledger», escribe Trezor, en referencia a los implantes que Ledger confirmó en dispositivos vendidos a través del mismo revendedor. La firma, sin embargo, evita trazar paralelismos directos: «Cada fabricante construye sus dispositivos de forma distinta, así que no haremos comparaciones mientras las investigaciones estén en curso».
El equipo de seguridad examinará el dispositivo en cuanto llegue al laboratorio. Mientras tanto, Trezor decidió no esperar: «Lo que hemos visto parece lo suficientemente sofisticado como para que decidamos advertir a los clientes ahora. Esperar la confirmación del laboratorio dejaría expuestos a los compradores de CryptoBilis mientras tanto».
La cronología: Ledger abrió la alerta el 9 de octubre
El aviso de Trezor no nace en el vacío. El 9 de octubre, Ledger comenzó a investigar pérdidas de fondos entre clientes que habían comprado billeteras a CryptoBilis, su revendedor autorizado en el sudeste asiático, y luego confirmó que algunos de esos dispositivos habían sido manipulados físicamente en un ataque sofisticado a la cadena de suministro. Las pérdidas reportadas por ese frente podrían superar los 86 millones de dólares, según las cifras que Ledger ha manejado en su propia investigación.
CryptoBilis era también un revendedor autorizado de Trezor en ese momento. «Nuestro equipo lo retiró de inmediato el 9 de octubre de 2026 y desde entonces ha estado investigando los dispositivos de los clientes», explica la compañía. La ventana de riesgo, sin embargo, no se cierra con la salida del revendedor: la guía de Trezor alcanza a todo dispositivo comprado a CryptoBilis desde marzo de 2026, un período de más de siete meses. Trezor ya había decidido recortar su red de revendedores el 13 de octubre como medida preventiva.
Ahí está la tensión que la propia Trezor admite: tomó la medida de recortar su red «por precaución» y recién ahora —tras el reporte del 28 de octubre— dice haber «descubierto evidencia de que un único dispositivo Trezor pudo haberse visto afectado por un ataque similar». El lapso de 19 días entre la confirmación de Ledger y el primer reporte sobre Trezor es la distancia entre reaccionar a un riesgo ajeno y confirmar un riesgo propio.
El eslabón débil es la cadena de suministro, no el chip
El caso vuelve a colocar el foco en la cadena de suministro, no en la criptografía. El Trezor Safe 5 sin manipular sigue siendo un dispositivo seguro; el problema es que el comprador no puede saber, a simple vista, si el suyo fue intervenido entre la fábrica y su puerta. Trezor lo reconoce en su propio aviso: los precintos y el empaque, por sí solos, no bastan.
La asimetría de datos es el dato más duro del caso. Del lado de Ledger, pérdidas que podrían superar los 86 millones de dólares. Del lado de Trezor, cero: «No tenemos evidencia de que algún cliente haya perdido fondos», afirma la firma, y añade que «ningún comprador de CryptoBilis nos ha reportado la pérdida de fondos». El cliente indonesio que reportó el implante había movido sus fondos fuera del dispositivo antes de encontrarlo.
Esa asimetría no es casualidad ni suerte pura: es el efecto de advertir antes de confirmar. Trezor publicó la alerta con el dispositivo todavía en tránsito hacia su laboratorio, en lugar de esperar la confirmación técnica. El costo de esa decisión es asumir el ruido de una alarma sin verificación; el beneficio, cerrar la ventana de exposición antes de que se materialice una pérdida.
Qué hacer si compraste un Trezor en CryptoBilis desde marzo
La guía de Trezor es concreta y no admite atajos. Si ya estás usando la billetera, mueve tus fondos a una billetera nueva con una frase de respaldo nueva lo antes posible; restaurar la frase antigua en otro dispositivo no resuelve el problema, porque un dispositivo manipulado pudo ya haberla transmitido. Si no tienes otra billetera de hardware segura, mueve los fondos temporalmente a una billetera de software o a un exchange que conozcas. Si no has configurado el dispositivo, no lo hagas y nunca ingreses una frase de respaldo existente en él.
La compañía ofrece un reemplazo: cualquier cliente que haya comprado a CryptoBilis desde marzo de 2026 puede conservar el dispositivo y contactar al soporte para recibir uno nuevo enviado directamente o un vale por el costo de uno nuevo. Trezor también advierte que los estafadores probablemente usarán el incidente para lanzar ataques de phishing con correos falsos, cartas físicas y llamadas telefónicas, y recuerda que el soporte nunca pedirá la frase de respaldo.
La contracara: cero pérdidas y cuatro dispositivos limpios
El caso no está cerrado y conviene no inflarlo. El implante reportado es uno, en un único dispositivo, y Trezor aún no lo ha examinado. De los dispositivos de CryptoBilis que los clientes han enviado hasta ahora —un Safe 7, dos Safe 5 y un Safe 3—, la compañía dice no haber encontrado «señales de manipulación en ninguno de los cuatro dispositivos recibidos». Y admite no saber quién está detrás del ataque: «No sabemos quién está detrás de esto».
Tampoco hay certeza sobre el alcance. Trezor no ha revelado cuántos dispositivos vendió a través de CryptoBilis y describe las ventas del revendedor como «muy pequeñas» sin dar cifras. La alarma alcanza a todo comprador desde marzo de 2026, pero el único reporte confirmado sigue siendo uno.
La siguiente señal
El siguiente dato observable no está en el precio de ningún token, sino en el laboratorio de Trezor. Cuando el dispositivo llegue y se examine, la firma promete una actualización; si el implante se confirma, la conversación pasará de «reporte creíble» a «incidente confirmado» y la pregunta será si el ataque a la cadena de suministro del sudeste asiático es más amplio de lo que los cuatro dispositivos limpios sugieren. Trezor dice estar «trabajando con Ledger y otras partes que investigan el asunto para garantizar que todos tengan información completa».
Para el comprador de hardware, la lección es operativa, no técnica: la seguridad de una billetera de hardware depende tanto de dónde se compra como de cómo se usa. Un dispositivo comprado en un canal no autorizado es una caja que no se puede verificar; la única defensa barata es el origen del canal y una frase de respaldo recién generada.
Preguntas frecuentes
¿Qué hago si compré un Trezor a CryptoBilis desde marzo de 2026?
Mueve tus fondos a una billetera nueva con una frase de respaldo nueva lo antes posible. Si no tienes otra billetera de hardware, usa temporalmente una de software o un exchange de confianza, y contacta al soporte de Trezor para recibir un reemplazo.
¿El Trezor Safe 5 sigue siendo seguro?
Sí, siempre que se compre por canales oficiales. El reporte apunta a un dispositivo concreto vendido por el revendedor CryptoBilis, no a un fallo del chip seguro del Safe 5; el riesgo está en la cadena de suministro, no en el hardware original.
¿Es el mismo ataque que afectó a los dispositivos Ledger?
Trezor afirma que el implante «parece funcionar de forma similar» a los vistos en Ledger, pero evita confirmar que sean los mismos atacantes y admite no saber quién está detrás mientras las investigaciones continúan.
Divulgación: Este artículo no representa asesoramiento de inversión. El contenido y los materiales de esta página tienen fines exclusivamente educativos.
