Trezor ha advertido a los clientes que compraron carteras de hardware al antiguo revendedor CryptoBilis que muevan sus fondos tras recibir un informe sobre un presunto implante malicioso dentro de un dispositivo Trezor Safe 5.
Resumen
- Trezor ha advertido a los clientes que compraron carteras de hardware a CryptoBilis desde marzo de 2026 que muevan sus fondos tras recibir un informe sobre un presunto implante en un dispositivo Safe 5.
- Según los informes, el presunto implante contiene una placa de circuito adicional y un módulo celular capaz de capturar las frases de recuperación mostradas en la cartera y transmitirlas a través de una red móvil.
- Trezor aún no ha examinado físicamente el dispositivo reportado, pero afirmó que la información proporcionada por el cliente era lo suficientemente creíble como para emitir una advertencia. No se han reportado pérdidas de clientes a la empresa.
- CryptoBilis fue eliminado como revendedor autorizado de Trezor el 9 de octubre después de que Ledger confirmara que algunas carteras de hardware vendidas a través del mismo revendedor habían sido manipuladas físicamente.
- Trezor ha aconsejado a los clientes afectados que creen nuevas carteras con nuevas frases de recuperación y está ofreciendo dispositivos de reemplazo o vales a los compradores elegibles.
Según un anuncio del 30 de octubre, la empresa recibió una divulgación de seguridad el 28 de octubre relativa a una cartera comprada a través de CryptoBilis en Tokopedia en agosto de 2026.
El dispositivo fue comprado por un cliente en Indonesia, quien informó haber encontrado una placa de circuito adicional dentro de la cartera que podría potencialmente exponer información sensible, incluida la frase de recuperación utilizada para acceder a las tenencias de criptomonedas.
Trezor dijo que ha revisado fotografías y entrevistado al cliente mediante una videollamada, pero aún no ha examinado físicamente el dispositivo. La empresa considera creíble el informe y ha aconsejado a los clientes que compraron cualquier modelo de Trezor a CryptoBilis desde marzo de 2026 que tomen precauciones.
Según la empresa, ningún cliente que compró dispositivos Trezor a través del revendedor ha reportado pérdidas de fondos.
El implante del Trezor Safe 5 podría transmitir las frases de recuperación de la cartera
Según los informes, el presunto implante consiste en una placa de circuito adicional colocada entre la placa principal de la cartera y su pantalla. Contiene un módulo celular y una antena que podrían permitir que la información mostrada en el dispositivo se transmita a través de una red móvil.
Según la descripción del cliente, el hardware adicional parece capaz de leer la pantalla, incluida la frase de recuperación generada durante la configuración de la cartera, y transmitir esa información cada vez que el dispositivo se conecta a la alimentación.
Cualquier persona que obtenga la frase de recuperación de una cartera podría potencialmente restaurarla en otro dispositivo y transferir sus fondos sin necesidad del hardware original.
El cliente que descubrió el presunto implante ya había transferido sus criptomonedas fuera del dispositivo antes de identificar el hardware adicional.
Trezor dijo que su equipo de seguridad está organizando la recepción de la cartera para su examen en laboratorio. Los investigadores no han identificado quién instaló el presunto implante ni han establecido si los mismos atacantes fueron responsables del incidente anterior de Ledger.
CryptoBilis estuvo previamente vinculado a carteras Ledger manipuladas
La advertencia sigue a una investigación que involucra dispositivos Ledger vendidos a través de CryptoBilis, que anteriormente operaba como revendedor autorizado para ambos fabricantes de carteras de hardware en el sudeste asiático.
El 9 de octubre, Ledger comenzó a investigar informes de pérdidas de criptomonedas entre clientes que habían comprado sus carteras a través del revendedor.
Como informó previamente crypto.news, Ledger confirmó posteriormente que un componente no autorizado dentro de un dispositivo afectado podía capturar las frases de recuperación mostradas durante la configuración y transmitirlas a través de una conexión celular LTE.
El implante de hardware oculto operaba de forma independiente al chip de seguridad del dispositivo, dejando inalterados su sistema operativo normal y sus funciones de firma de transacciones.
Trezor respondió a los informes iniciales eliminando a CryptoBilis de su red de revendedores autorizados el 9 de octubre y pidiendo a los clientes que enviaran sus dispositivos para su inspección.
Para el 19 de octubre, la empresa había recibido cuatro carteras compradas a través de CryptoBilis, incluidas dos dispositivos Trezor Safe 5, un Safe 7 y un Safe 3. Ninguno mostró signos de manipulación física durante la inspección.
El implante sospechoso revelado el 28 de octubre se refiere a un dispositivo Safe 5 separado que no había sido incluido en esos exámenes.
La investigación sobre los dispositivos Ledger ha continuado. El 29 de octubre, la firma de análisis de blockchain Arkham Intelligence rastreó 95,35 millones de dólares en presuntos robos que involucran 1.486 direcciones entre el 7 y el 9 de octubre.
Arkham informó que aproximadamente 10 millones de dólares en USDT habían sido congelados, mientras el atacante continuaba moviendo criptomonedas robadas a través de múltiples redes blockchain.
Por separado, la policía de Singapur reportó 3,5 millones de dólares singapurenses en pérdidas de criptomonedas en dos casos que involucran dispositivos Ledger manipulados comprados a minoristas locales.
Desde entonces, Trezor ha restringido su red de revendedores autorizados y está trabajando con Ledger y otras partes que investigan los ataques reportados.
Trezor aconseja a los clientes de CryptoBilis crear nuevas carteras
A los clientes que compraron dispositivos Trezor a CryptoBilis desde marzo de 2026 en adelante se les ha aconsejado transferir sus criptomonedas a una cartera recién creada con una frase de recuperación completamente nueva.
La empresa advirtió que importar una frase de recuperación existente a otra cartera de hardware o software no eliminaría el riesgo si esa frase ya había sido expuesta.
Los usuarios que no tengan otra cartera de hardware segura pueden transferir temporalmente sus fondos a una cartera de software conocida o a un exchange de criptomonedas. Trezor aconsejó a los clientes verificar cuidadosamente las direcciones de recepción antes de realizar transferencias.
Cualquier persona que haya comprado un dispositivo pero aún no lo haya configurado debe evitar configurarlo o ingresar una frase de recuperación existente.
La advertencia abarca todos los modelos Trezor suministrados por CryptoBilis, incluidos los dispositivos vendidos a través de Tokopedia y otras tiendas que obtuvieron su inventario del revendedor.
Trezor dijo que los clientes no deben intentar identificar la manipulación abriendo o pesando sus carteras. Aunque el cliente que reportó el implante notó una diferencia de peso, la empresa afirmó que las mediciones de peso no pueden establecer de manera confiable si un dispositivo ha sido modificado.
Los clientes que compraron dispositivos a CryptoBilis durante el período especificado son elegibles para recibir una cartera de reemplazo enviada directamente por Trezor o un vale que cubra el costo de un nuevo dispositivo.
Trezor advirtió que los estafadores podrían aprovechar el incidente mediante correos electrónicos, cartas y llamadas telefónicas fraudulentas. Se recordó a los clientes que nunca revelen sus frases de recuperación, incluso a cualquier persona que afirme representar al equipo de soporte de la empresa.
La investigación se está llevando a cabo con la asistencia de SEAL 911, el servicio de respuesta de emergencia de Security Alliance, que ha estado asesorando a Trezor sobre su respuesta a los clientes afectados.
