Nombres, correos electrónicos, teléfonos y direcciones físicas de clientes de Trezor quedaron expuestos tras un incidente de seguridad sufrido por uno de sus proveedores logísticos. La filtración no afecta a las claves privadas ni a los dispositivos, pero vuelve a poner sobre la mesa un problema especialmente delicado para la industria de las hardware wallets: revelar la identidad y el domicilio de una persona con la posesión de criptomonedas.
Una brecha de datos en Trezor
El fabricante de monederos físicos Trezor ha informado de una brecha de datos sufrida por uno de sus proveedores de envíos que ha expuesto información personal de 13.689 clientes de Estados Unidos, Reino Unido, Suecia, Colombia, Brasil, Italia y Portugal. De ellos, 11.742 clientes sufrieron una exposición completa de sus datos, incluyendo nombre, dirección de correo electrónico, número de teléfono y dirección de envío. Otros 1.947 clientes vieron comprometida parcialmente su información: nombre, ciudad y correo electrónico.
La compañía informa que la brecha afecta a nuevos clientes que recibieron pedidos durante los 90 días anteriores al 8 de agosto de 2026. Trezor explica que el alcance del incidente quedó limitado por su política de conservación de información. La empresa mantiene los datos relacionados con los pedidos durante un máximo de 90 días y afirma haber negociado esa misma política con sus socios encargados del cumplimiento y los envíos.
Los afectados, informados por Trezor
La limitación temporal, según la empresa, evitó que la brecha alcanzase potencialmente a una base histórica mucho mayor de compradores. Todos los clientes identificados como afectados han sido contactados individualmente por correo electrónico.
El incidente, según la compañía, no compromete las hardware wallets de la compañía. El ataque afectó a su proveedor logístico ShipMonk, encargado del almacenamiento y envío de productos a clientes. La compañía asegura que sus sistemas y dispositivos continúan siendo seguros. Por tanto, la filtración no implica que las claves privadas, las frases de recuperación o los criptoactivos almacenados mediante los dispositivos Trezor hayan quedado expuestos.
La exposición de direcciones físicas coincide con el aumento de ataques violentos contra propietarios de criptomonedas en sus propios domicilios, sobre todo en Francia, donde los delincuentes han llegado a utilizar datos personales filtrados para localizar a sus víctimas y someterlas a robos, secuestros y extorsiones.” Según Chainalysis, los asaltos en domicilios representan ya el 37% de los ataques físicos cripto registrados en 2026. Esta no es la primera vez que Ledger sufre un incidente de este tipo. En 2020, una brecha de datos expuso los nombres y las direcciones postales de unos 272.000 clientes.
Wallet física COLDCARD
Aunque los dispositivos no hayan sido comprometidos, Trezor advierte que los clientes afectados podrían experimentar un incremento de los intentos de phishing y suplantación de identidad. Los atacantes cuentan ahora, potencialmente, con una información extremadamente valiosa para construir mensajes personalizados.
El caso se produce pocos días después del grave episodio atribuido a COLDCARD, otra conocida wallet física especializada en bitcoin, que habría afectado a unas 5.000 billeteras y provocado pérdidas estimadas superiores a 110 millones de dólares. A diferencia de Trezor, donde la compañía asegura que sus dispositivos y sistemas permanecen seguros y la brecha se limita a los datos personales almacenados por un proveedor de envíos, en el caso de COLDCARD el origen habría estado en una falla del generador de números aleatorios utilizado para crear las frases de recuperación, comprometiendo directamente la seguridad de los fondos.
Igualmente, la empresa australiana de investigación de fraudes Cybertrace alertó el pasado mes de julio de la circulación de cartas físicas enviadas a domicilios de usuarios de Ledger. Las comunicaciones imitaban correspondencia oficial de la compañía y advertían a los destinatarios de la necesidad de realizar una supuesta actualización de seguridad. La carta incluía un código QR que conducía a una página fraudulenta diseñada para solicitar la frase de recuperación de la wallet.