Trezor ha reducido su red de revendedores en aproximadamente un 80% y ha publicado una actualización de firmware tras encontrar implantes de hardware en tres carteras Safe 5 compradas al antiguo revendedor CryptoBilis.
Resumen
- Según la investigación de Trezor, tres carteras Safe 5 compradas a CryptoBilis contenían implantes.
- La versión de firmware 2.13.1 bloquea los implantes identificados, pero las frases de recuperación capturadas previamente siguen expuestas.
- Los compradores desde marzo de 2026 siguen siendo elegibles para reemplazos y deben mover sus fondos a nuevas carteras.
- Ningún cliente ha reportado pérdida de fondos, y no se han confirmado implantes fuera de CryptoBilis.
La actualización de la investigación de Trezor del 12 de noviembre indicó que los clientes aún deben mover su criptomoneda a una cartera recién creada con una nueva semilla, incluso después de instalar la protección publicada un día antes.
La empresa afirmó que los revendedores eliminados eran confiables y no representaban una amenaza inmediata. No cumplían con los requisitos de manipulación más estrictos que se están introduciendo en sus socios restantes, que abarcan cómo se obtienen, almacenan y acceden a los dispositivos.
El firmware de Trezor bloquea los implantes pero no puede proteger las semillas expuestas
Según el fabricante de la cartera, la versión de firmware 2.13.1, publicada el 11 de noviembre, impide que los implantes identificados durante la investigación capturen información en dispositivos que ejecutan la actualización.
Sin embargo, sus instrucciones para los clientes de CryptoBilis siguen sin cambios porque las palabras de recuperación recopiladas antes de la instalación ya podrían estar expuestas.
"Si compraste a CryptoBilis, aún deberías mover tus fondos a una nueva cartera con una nueva semilla", dijo Trezor.
En una respuesta en X, la empresa explicó que el implante vigila la comunicación entre el microcontrolador del dispositivo y la pantalla, y luego comienza a grabar cuando reconoce una secuencia particular. Los ingenieros cambiaron el orden de los comandos enviados a la pantalla para que el disparador ya no funcione.
La advertencia anterior a los clientes, cubierta por crypto.news después de que Trezor recibiera el informe inicial del implante, aconsejaba no importar la antigua frase de recuperación a otra cartera de hardware o software.
A los clientes que no han configurado un dispositivo comprado a CryptoBilis se les indicó que no lo configuren ni introduzcan una copia de seguridad de cartera existente.
Tres carteras afectadas provinieron de compras en agosto y septiembre
Según la investigación, los tres dispositivos Safe 5 afectados se compraron entre el 20 de agosto y el 23 de septiembre de 2026, a través de las tiendas Tokopedia y Shopee de CryptoBilis o directamente del revendedor.
Los ingenieros examinaron el primer dispositivo reportado en el laboratorio de Trezor. Los otros dos implantes se identificaron a partir de fotografías proporcionadas por sus propietarios.
Desde su llamamiento de octubre para que los clientes se pusieran en contacto, la empresa ha recibido noticias de 48 compradores de CryptoBilis. Las comprobaciones se están llevando a cabo mediante exámenes de laboratorio o fotografías del interior de los dispositivos.
Trezor afirmó que todos los demás dispositivos examinados no mostraron evidencia de manipulación. Las inspecciones de carteras de otros revendedores de la región tampoco encontraron ninguna, y la investigación no ha confirmado un implante en otro modelo de Trezor.
La empresa retiró a CryptoBilis como revendedor autorizado el 9 de octubre tras los informes de carteras Ledger manipuladas vendidas a través del mismo negocio. Su primera advertencia sobre un presunto implante en un Trezor se produjo el 30 de octubre.
Placas de circuito ocultas capturaban las palabras de recuperación desde la pantalla
El equipo de ingeniería embebida de Trezor extrajo y analizó el firmware del implante, que consiste en una placa de circuito adicional colocada entre la placa principal del Safe 5 y la pantalla.
La empresa describió un dispositivo de escucha que copia la información mostrada en la pantalla sin modificar el firmware propio de la cartera ni el Elemento Seguro.
Reconoce las palabras de recuperación mostradas durante la creación de una copia de seguridad de la cartera, y las palabras introducidas al restaurar una cartera existente. Las frases de contraseña que aparecen en la pantalla pueden capturarse de la misma manera.
Según el informe técnico, la información capturada se cifra y se transmite a través de una red móvil a un servidor controlado por el atacante. Cuando no hay conexión disponible, el implante almacena los datos y lo reintenta más tarde.
Al responder a preguntas sobre cómo detectar la manipulación, Trezor dijo que no había diferencias externas obvias. Abrir una cartera puede dañarla, y un implante bien fabricado puede seguir siendo difícil de identificar incluso con fotografías de referencia.
La elegibilidad para el reemplazo comienza con las compras de marzo
Cualquier cliente que haya comprado un Trezor a CryptoBilis desde marzo de 2026 es elegible para un reemplazo, un período que se extiende más allá de las fechas de compra de los tres dispositivos identificados.
Las restricciones de envío pueden requerir un modelo diferente con la diferencia de precio reembolsada, la entrega a una dirección en otro país, o un reembolso. Los clientes deben conservar sus dispositivos y gestionar la asistencia a través del Soporte de Trezor.
La empresa advirtió que los estafadores pueden hacerse pasar por personal de soporte que ofrece reemplazos o reembolsos. Su personal nunca pedirá a los clientes que compartan sus frases de recuperación.
