La casa de 11.742 clientes de Trezor salió por el panel de gráficos de su almacén, y CISA ya obligaba a parchear ese fallo dos días antes del aviso
Trezor publicó este jueves una frase que es literalmente cierta y aun así deja el problema intacto: sus sistemas no fueron comprometidos y los aparatos siguen siendo seguros. Lo que salió a…
Trezor publicó este jueves una frase que es literalmente cierta y aun así deja el problema intacto: sus sistemas no fueron comprometidos y los aparatos siguen siendo seguros. Lo que salió a la calle es otra cosa. Nombre completo, teléfono, correo y dirección de casa de 11.742 personas que compraron un monedero de hardware entre el 10 de mayo y el 8 de agosto, más otras 1.947 con nombre, ciudad y correo. Total: 13.689 clientes en Estados Unidos, Reino Unido, Suecia, Colombia, Brasil, Italia y Portugal.
La filtración no ocurrió en Trezor. Ocurrió en ShipMonk, el operador logístico que almacena y envía sus paquetes. Y tampoco ocurrió exactamente en ShipMonk: el agujero estaba en Metabase, el panel de gráficos que ShipMonk usa para analizar sus datos. Tres empresas de distancia entre el fabricante que promete seguridad y el software por el que se fueron las direcciones.
Lo que se llevaron no es una lista de correo
Las preguntas frecuentes que Trezor publicó en su aviso oficial detallan qué guarda un transportista para entregar un paquete: nombre, correo, número de pedido, teléfono y dirección de envío. El número de pedido es el ingrediente que convierte un correo genérico de estafa en algo creíble, porque permite citar una compra real que el destinatario recuerda.
La ventana de exposición va del 10 de mayo al 8 de agosto de 2026. Son exactamente 90 días, y no es casualidad: Trezor obliga por contrato a sus operadores logísticos a borrar o anonimizar los datos de un pedido 90 días después de la entrega. Esa cláusula es la razón de que la cifra sea de trece mil y no de cientos de miles.
El fallo tiene nombre, nota máxima y ninguna relación con cripto
Metabase avisó el 6 de agosto de que su servicio en la nube había sido atacado con una vulnerabilidad desconocida hasta ese momento. Su consejero delegado, Sameer Al-Sakran, lo describió en el comunicado de la empresa: inyección de SQL sin necesidad de estar autenticado, que acaba dando acceso de administrador a la instancia y desde ahí permite robar las credenciales de las bases de datos conectadas y exportar lo que haya dentro. La nota es 10.0 sobre 10, el máximo de la escala CVSS. Afecta a las versiones 1.58 y superiores; las mínimas seguras van de la 0.58.24 a la 0.63.5.
Trezor no fue el único cliente afectado por el mismo agujero. BleepingComputer documentó que el fabricante de portátiles Framework y el creador de formularios Tally sufrieron el robo por la misma vía, y que en los dos casos el intruso entró el 3 de agosto. En el correo de notificación que ShipMonk mandó a sus propios clientes, el operador logístico dice que Metabase le informó el 6 de agosto y que contrató peritos externos. El mismo medio añade el dato que nadie en la prensa cripto ha recogido: ShipMonk ya ha recibido correos de extorsión del grupo ShinyHunters. Las direcciones no están solo perdidas, están en manos de alguien que pide dinero por ellas.
Diez días entre la entrada y el aviso
La cronología es el verdadero hallazgo.
| Fecha | Qué pasó | Quién lo sabía |
|---|---|---|
| 3-ago | El atacante entra en instancias de Metabase | Nadie |
| 6-ago | Metabase publica el aviso y notifica a ShipMonk | Metabase, ShipMonk |
| 8-ago | Último día de pedidos incluidos en la fuga | ShipMonk, ya avisado |
| 10-ago | ShipMonk informa a Trezor | Trezor |
| 11-ago | CISA mete el fallo en su catálogo de explotados | El público técnico |
| 13-ago | Trezor avisa a los afectados | Los clientes |
Dos detalles de esa tabla merecen atención. El primero: la ventana de pedidos filtrados llega hasta el 8 de agosto, dos días después de que ShipMonk ya supiera que había un intruso dentro. El segundo, verificado por mí en el catálogo de CISA: el fallo recibió el identificador CVE-2026-72898 y entró en la lista de vulnerabilidades explotadas activamente el 11 de agosto, con fecha límite de corrección para las agencias federales el 14 de agosto. Es decir, el Gobierno de Estados Unidos ordenó a sus organismos parchear esto antes de que el comprador de un Trezor supiera que su dirección andaba suelta.
El Reglamento europeo de protección de datos da 72 horas al responsable para notificar a la autoridad desde que conoce la brecha. Trezor Company s.r.o. es checa, supo del incidente el lunes 10 y publicó el jueves 13: el aviso llegó justo cuando se agotaba ese plazo.
La política de 90 días que Trezor presenta como escudo tiene un agujero
La empresa repite tres veces en su aviso que el daño está limitado por su política de retención. Y es verdad para la mayoría. Pero el propio texto lleva una corrección añadida después de la publicación:
Según nuestros hallazgos más recientes, los 1.947 clientes cuya exposición se limitó a nombre, ciudad y correo electrónico pueden incluir pedidos más antiguos. Estamos verificando esta información y el plazo con ShipMonk.
Son el 14,2% de los afectados. La cláusula contractual que se presenta como el motivo de que la fuga sea pequeña no se cumplió del todo en uno de cada siete registros, y quien tiene que confirmarlo es la misma empresa que dejó entrar al atacante. Y la escala importa: solo el centro de California de ShipMonk despacha más de 400.000 pedidos al mes según su propia web, así que los 13.689 registros de Trezor son la porción de un cliente.
Esto ya pasó, y sabemos cómo acaba
El precedente es Ledger. En julio de 2020 su base de datos de comercio electrónico quedó expuesta y la empresa reconoció en un mensaje de su consejero delegado cerca de un millón de correos y 9.532 fichas detalladas con dirección postal, nombre y teléfono. En diciembre de ese año el archivo apareció publicado en un foro de piratas con más de 270.000 fichas con dirección física, según BleepingComputer y Bitdefender. La cifra que acabó circulando fue unas 28 veces mayor que la que la empresa había admitido.
Y en junio de 2021 llegó la parte que importa aquí. Halborn documentó cómo víctimas de aquella lista empezaron a recibir en casa cajas precintadas con un monedero falso y una carta que mencionaba la brecha real para dar credibilidad al engaño. Ese ataque necesita exactamente lo que se ha filtrado hoy: nombre, dirección y la certeza de que en ese domicilio hay claves privadas, el mismo insumo con el que se montan los secuestros y robos con violencia que contamos la semana pasada. Los 11.742 registros completos de esta fuga superan en un 23% las 9.532 fichas detalladas que Ledger admitió en su día.
Trezor tampoco parte de cero. En enero de 2024 el portal de tickets de soporte de un tercero dejó al aire nombres, nombres de usuario y correos de 66.000 usuarios, y los atacantes lo usaron para pedir por correo las 24 palabras de recuperación. Aquella vez fueron 4,8 veces más personas, pero sin direcciones ni teléfonos. Es la segunda fuga por un proveedor externo en año y medio.
La otra cara: el aparato aguantó y la respuesta no es solo un comunicado
Hay que reconocer lo que funcionó. Ninguna clave privada salió de ningún sitio, porque un monedero de hardware está diseñado precisamente para que la lista de compradores y el dinero vivan en universos separados. Eso marca la diferencia con el monedero al que esta misma mañana le sacaron 25,6 millones por no rotar una llave comprometida. La política de 90 días evitó que la fuga fuese el historial completo de pedidos de una década. Trezor identificó y escribió uno a uno a los afectados desde una dirección concreta, y dice sin rodeos que quien no recibió ese correo no está en la lista, lo que corta de raíz la segunda oleada de estafas que suele venir disfrazada de aviso oficial.
Y hay un cambio de producto detrás, no solo disculpas: Trezor anuncia una modalidad de entrega anónima con caja neutra, remitente genérico, recogida en taquilla y borrado automático de los identificadores de envío tras la entrega, prevista para la Unión Europea en septiembre de 2026 y para Estados Unidos a final de año. Es la respuesta correcta al problema real, que no es el cifrado del aparato sino que comprar uno obligue a decirle a un almacén dónde vives. El mercado no reaccionó: bitcoin a 63.126 dólares, un 0,6% menos en 24 horas.
- Si la cifra sube. Trezor ya está reverificando los 1.947 registros parciales con ShipMonk, y en el caso de Ledger el número final fue 28 veces el inicial.
- Si ShinyHunters publica o vende el lote. Ahí dejará de ser una lista privada y pasará a ser un directorio consultable.
- Cartas y paquetes, no solo correos. El aviso de Trezor menciona expresamente cartas fraudulentas, y el precedente de 2021 fue un aparato falso entregado en el domicilio.
- Si ShipMonk identifica a otros clientes afectados. Doce centros y más de 400.000 pedidos mensuales solo en California dejan mucho margen fuera de Trezor.
- La fecha del 14 de agosto en el catálogo de CISA: cuántas instancias autoalojadas de Metabase siguen sin parchear después del plazo.
- Cualquier mensaje que pida las palabras de recuperación. Es la jugada que siguió a la fuga de 2024 y funciona igual por teléfono que por correo: nadie legítimo las pide nunca.
- Si la entrega anónima llega en septiembre a la UE o se retrasa, porque es la única medida que reduce el dato en origen.
Quien tenga un Trezor comprado este verano no necesita mover monedas ni cambiar de aparato. Necesita asumir que su nombre, su teléfono y su portal están en un archivo que alguien intenta monetizar, y tratar como hostil cualquier mensaje que use esos datos para ganarse su confianza.
Basado en: Trezor, Metabase, BleepingComputer, CISA, Ledger, Halborn, Bitdefender, The Block, CoinDesk, ShipMonk, CoinGecko.