Trezor recorta su red de revendedores tras el ataque a Ledger: ¿precaución sensata o solución a medias?

ersusoficial(63)

Published in

ExpresArte

Words

2270

Reading

11 min

Listen

Play

Después de que Ledger confirmara implantes de hardware espía en carteras vendidas por un revendedor oficial, Trezor anunció que reducirá su red de distribuidores autorizados. Su mensaje: no hay evidencia de que sus dispositivos estén comprometidos, pero un hardware wallet es tan seguro como el camino que recorre hasta su dueño. La medida tiene lógica, pero también deja preguntas abiertas que vale la pena analizar con calma.

Carta de Danny Sanders a los revendedores de Trezor

Publicación original de Trezor en X: https://x.com/Trezor/status/2110000774314873020

Qué pasó: la carta de Trezor

El 13 de octubre de 2026, Danny Sanders, director comercial (CCO) de Trezor, publicó una carta dirigida a los revendedores que dejarán de ser socios autorizados. Los puntos centrales son estos:

Fecha de corte: la autorización de los socios afectados termina el 1 de enero de 2027. Ese día salen de la lista oficial de revendedores.
Sin más stock: desde la fecha de la carta, Trezor no les enviará mercancía nueva. Pueden vender lo que les quede durante Black Friday y las fiestas.
Sin acusaciones: la carta insiste en que no es un juicio sobre el negocio de nadie ni sobre la seguridad de los equipos que venden. La razón es de capacidad: Trezor dice que solo puede revisar de cerca a un número limitado de socios.
Análisis país por país: según la carta, se evaluó cada mercado por separado, comparando ingresos y distribución con la presencia propia de Trezor en ese lugar.
Más exigencia para los que se quedan: un marco legal actualizado y controles más estrictos sobre cómo se obtienen, almacenan y manejan los dispositivos.
Una frase clave: Sanders afirma que no existe "ni una sola evidencia" de que dispositivos Trezor hayan sido comprometidos, y que esto es un paso preventivo.

La carta no nombra a Ledger. Habla de "el reciente ataque a la cadena de suministro de otra marca de hardware wallets". Pero el contexto es inconfundible.

El detonante: lo que ocurrió con Ledger

Para entender la decisión de Trezor hay que mirar lo que pasó unos días antes.

Cronología resumida:

9 de octubre: empiezan a circular reportes de carteras vaciadas entre clientes del Sudeste Asiático. Ledger pide a CryptoBilis, un revendedor con sede en Kuala Lumpur que atiende Indonesia, Malasia y Filipinas, pausar todas las ventas y envíos de dispositivos Ledger.
10 de octubre: Ledger confirma que un dispositivo de un usuario afectado contenía un implante de hardware no autorizado.
12 de octubre: Trezor retira a CryptoBilis de su propia lista de revendedores (el comercio también vendía equipos Trezor) y dice que no ha recibido reportes de dispositivos Trezor manipulados.
13 de octubre: el equipo de seguridad de Ledger (Donjon) publica detalles técnicos. Ese mismo día, Trezor publica la carta.
14 de octubre: Ledger pide a revendedores y distribuidores de siete mercados asiáticos (Indonesia, Singapur, Tailandia, Filipinas, Vietnam, Malasia y Hong Kong) suspender ventas y retirar sus productos de los estantes mientras investiga.

Cómo funcionaba el ataque, según Ledger: el implante usaba un microcontrolador que leía las 24 palabras de recuperación mostradas en pantalla durante la configuración inicial y las enviaba por red celular LTE mediante una eSIM. Ledger asegura que el componente no tocó el chip seguro, el sistema operativo ni el proceso de firma de transacciones.

Cuánto dinero se perdió: aquí hay que ser cuidadosos. Los números varían según la fuente. Un investigador on-chain estimó más de 86 millones de dólares; la firma Bitquery habló de unos 92,9 millones desde 311 carteras (alrededor de 70,5 millones en la red Tron); otros medios manejan 93 e incluso 102 millones. Ledger no ha confirmado una cifra final. Lo único que se puede afirmar con firmeza es que son decenas de millones de dólares y que la investigación sigue abierta.

Otros casos que aún no están confirmados como parte de lo mismo:

La cadena europea MediaMarktSaturn retiró las carteras Ledger de sus tiendas después de que un usuario reportara un módulo LTE y cableado adicional dentro de un Nano X comprado en una tienda en Europa. Ledger dice que no se reportaron pérdidas de fondos en ese caso.
Mark Karpelès (ex CEO de Mt. Gox) reportó un implante sospechoso en un Ledger Flex comprado en una tienda del aeropuerto de Changi, en Singapur. Ledger no ha confirmado públicamente que ese caso esté relacionado con el de CryptoBilis.
Ledger sostiene que todas las pérdidas verificadas hasta ahora corresponden a dispositivos vendidos por CryptoBilis.

Análisis: ¿qué dice realmente esta decisión?

1. La seguridad del dispositivo no sirve de mucho si el dispositivo llega manipulado

Este es el punto de fondo. Un hardware wallet protege tus claves frente a un computador infectado. Pero toda esa protección parte de un supuesto: que el aparato que sacas de la caja es el que el fabricante diseñó. Si alguien lo abrió antes que tú, el diseño interno deja de importar.

Y ojo con un detalle del caso Ledger: según la propia empresa, el chip seguro no fue vulnerado. El ataque se colocó en el camino entre el dispositivo y los ojos del usuario: la pantalla donde aparecen las palabras de recuperación. Dicho de otra forma, el candado estaba bien; el problema era que alguien miraba por encima del hombro mientras se anotaba la combinación.

2. Comparación con 2018: el mismo problema, otra capa

Esto no es nuevo en concepto. En marzo de 2018, el investigador Saleem Rashid demostró que un Ledger Nano S podía ser modificado antes de llegar al cliente, saltándose la verificación de firma del microcontrolador no seguro del dispositivo. Ledger publicó un boletín de seguridad, lo corrigió con la versión 1.4 del firmware y señaló que, si el equipo se compraba a Ledger o a un revendedor autorizado, era "extremadamente improbable" que estuviera comprometido. Por su parte, Trezor anunció entonces una actualización para verificar la integridad de sus dispositivos.

Ahora compare:

	2018 (Nano S)	2026 (caso CryptoBilis)
Tipo de ataque	Modificación del firmware	Componente físico añadido
Ejecución	Demostración de un investigador	Ataque real con pérdidas de fondos
Solución	Parche de firmware	No existe parche posible para una pieza soldada
Mensaje sobre revendedores autorizados	"Es muy improbable que estés afectado"	El vector fue, precisamente, un revendedor oficial

La lectura crítica es esta: en 2018 la defensa fue de software (verificar firmware). Un implante físico se escapa de esa defensa, porque ningún chequeo de firmware "ve" un componente extra en la placa. Por eso la respuesta de Trezor es logística y organizativa, no técnica. Tiene sentido, pero también nos dice algo: cuando el ataque es físico, la confianza vuelve a depender de personas y procesos.

3. La etiqueta de "revendedor autorizado" ya no es una garantía

En 2018, comprar en un canal autorizado era el consejo estándar. Hoy sabemos que un revendedor oficial puede ser el eslabón débil. Trezor lo reconoce implícitamente cuando dice que cada dispositivo que pasa por manos que no puede revisar bien pone en riesgo los ahorros de alguien. El mensaje práctico: "autorizado" solo vale tanto como la capacidad real del fabricante de auditar a ese socio. Y eso es exactamente lo que Trezor dice que no puede hacer a la escala actual.

4. Lo que la decisión hace bien

Reduce la superficie de ataque. Menos socios significa menos puntos por donde un atacante puede infiltrarse.
Es honesta sobre sus límites. Reconocer que no se puede vigilar a todos es más sano que fingir un control que no existe.
Es proactiva. Actuar sin pruebas de compromiso evita llegar tarde, que es lo que pasa cuando el daño ya está hecho.
Trata con respeto a los socios. Hay aviso, tiempo de transición y un reconocimiento explícito a su trabajo.

5. Lo que deja en el aire

Aquí es donde conviene ser exigente:

No hay números ni mapa. Trezor no ha dicho cuántos revendedores salen ni de qué países. Sin eso, es imposible evaluar el impacto real. En mercados donde Trezor tiene poca presencia propia, menos revendedores puede significar menos formas de comprar un equipo legítimo.
Los términos del nuevo marco legal son un misterio. Se habla de controles más estrictos, pero no se publica en qué consisten.
No se anuncian cambios en el hardware. Hasta donde se ha informado, Trezor no ha dicho si planea cosas como empaques con sellos más robustos o verificaciones de autenticidad adicionales. Es la parte que más protegería al usuario en cualquier canal.
Existe una tensión en el calendario. La carta dice que los dispositivos que pasan por manos que Trezor no puede revisar ponen en riesgo ahorros, pero también permite a esos mismos socios vender su inventario restante hasta el 1 de enero, en plena temporada alta. Hay una explicación razonable (es una transición justa para negocios reales), pero el equilibrio entre equidad comercial y riesgo es discutible.
El riesgo del efecto rebote. Esta es una reflexión propia, no un hecho reportado: si el canal oficial se encoge y la demanda se mantiene, una parte de los compradores podría terminar en mercados no autorizados o de segunda mano, justo el escenario que los investigadores llevan años señalando como peligroso.

6. "No hay evidencia" no es lo mismo que "está demostrado que no pasa"

Trezor afirma con firmeza que no hay evidencia de dispositivos comprometidos. Es una declaración importante y, hasta ahora, no hay reportes verificados en contra. Karpelès, por ejemplo, examinó un Trezor Safe 7 comprado directamente al fabricante y no encontró implante. Pero hay que ponerlo en su justa medida: es un solo dispositivo, y el propio informe aclara que no equivale a una auditoría de todos los productos. La frase correcta es: no se ha encontrado nada hasta ahora. Es una buena noticia, no una garantía eterna.

7. El canal directo tampoco es una burbuja perfecta

Trezor aclaró que los pedidos de su tienda oficial salen de centros logísticos publicados en su sitio de soporte. Recordemos que en agosto de 2026 un incidente en ShipMonk, proveedor logístico de Trezor, expuso datos personales de 13.689 clientes (nombres, correos, teléfonos y direcciones de envío), por una vulnerabilidad en una plataforma de análisis de terceros. Trezor indicó que sus sistemas no fueron comprometidos y que los dispositivos siguen siendo seguros: fue una fuga de datos de contacto, no de hardware. Son cosas distintas, y conviene no mezclarlas, pero ilustra un punto: la "cadena de suministro" incluye a cualquier tercero que toque el producto o la información del cliente.

8. Una lectura propia sobre el diseño

Con la información disponible, hay una observación que vale la pena hacer con cautela. Los hardware wallets, incluidos los de Ledger y los de Trezor, muestran la frase de recuperación en la pantalla del dispositivo al configurarlo. Eso es parte del diseño. No significa que Trezor sea vulnerable a este ataque (la empresa dice que no hay evidencia de ello); significa que ese momento de la configuración es sensible para cualquier marca, y que por eso importa tanto que el dispositivo llegue intacto.

Qué puede hacer el usuario

Sin dramatismos, pero con disciplina. Esto sale de las recomendaciones de las propias empresas y de la lógica del caso:

Compra directamente al fabricante o en un canal que este verifique y publique. Ni siquiera esto elimina todo riesgo, pero lo reduce.
Desconfía de las ofertas "demasiado buenas" y de vendedores de segunda mano para este tipo de producto.
Revisa el empaque y el aparato antes de usarlo. Si algo se ve abierto, modificado o raro, no lo configures.
Si sospechas de un dispositivo, no lo inicialices. Contacta al soporte del fabricante.
Si crees que tu frase de recuperación pudo quedar expuesta, mueve los fondos a una cartera nueva con una frase recién generada, como indica Ledger para los afectados.
Nunca escribas tu frase de recuperación en una web, app o formulario, ni se la des a nadie que diga ser "soporte".

Conclusión

La decisión de Trezor es razonable y valiente en lo comercial: renuncia a alcance de ventas para ganar control. Reconoce algo que toda la industria sabe pero pocos dicen en voz alta: el eslabón más débil de una cartera de hardware no siempre es la criptografía, a veces es la caja que viaja en un camión. La comparación con 2018 lo deja claro: antes el riesgo se arreglaba con un parche; hoy un ataque físico solo se frena con vigilancia del proceso.

Ahora bien, la medida es un primer paso, no la solución completa. Faltan datos (cuántos y dónde), detalles del nuevo marco para los socios que se quedan y, sobre todo, mejoras que protejan al usuario sin depender de que cada caja haya pasado por manos de confianza. Eso se vería reforzado con verificaciones de autenticidad y empaques más difíciles de falsificar, aunque Trezor no ha dicho si los planea.

Para quienes usamos o recomendamos estos dispositivos, la lección práctica es sencilla y vale para cualquier marca: la seguridad empieza antes de que enciendas el aparato. Cuida de dónde sale, cómo llega y no te confíes por una etiqueta.

Nota: la situación sigue evolucionando. Las investigaciones de Ledger continúan y las cifras de pérdidas no están confirmadas oficialmente. Lo aquí expuesto refleja la información disponible al 14 de octubre de 2026. Este contenido es informativo y no constituye asesoría financiera.