Índice de contenidos
Claves de la noticia
- Trezor trata unas 347.000 direcciones de su boletín como conocidas por los atacantes.
- Brevo afirma que el acceso indebido alcanzó 138 cuentas por un error de alcance de permisos.
- Las carteras y sistemas de Trezor no fueron comprometidos, pero el phishing buscaba robar la copia de seguridad.
Los propietarios de carteras físicas Trezor afrontan una campaña de suplantación especialmente peligrosa. Un incidente en Brevo, proveedor externo de correo, permitió enviar aproximadamente 347.000 mensajes con un enlace malicioso que intentaba capturar la copia de seguridad de la cartera y, con ella, el control irreversible de los fondos.
Un correo legítimo convertido en canal de ataque
Trezor comunicó que el 9 de septiembre Brevo sufrió un incidente que afectó a cuentas de clientes de su plataforma de marketing. Los atacantes aprovecharon el acceso para enviar mensajes desde la infraestructura utilizada habitualmente por la marca. Ese detalle eleva la eficacia del engaño: el dominio, la entrega y parte del contexto pueden parecer coherentes incluso a una persona prudente.
Una de las líneas de asunto advertía de una supuesta vulnerabilidad crítica de entropía en STM32. El enlace descargaba una aplicación que pedía la copia de seguridad o frase de recuperación. Ninguna actualización legítima de una cartera exige introducir esa frase en una aplicación llegada por correo. Quien la entrega no pierde solo una contraseña: concede las claves necesarias para mover los activos en una red donde la transferencia normalmente no puede revertirse.
El fallo estaba en el alcance de permisos
Brevo publicó su propia reconstrucción. La compañía señala que actores maliciosos accedieron a 138 cuentas y que ciertos permisos no estaban correctamente limitados a las organizaciones correspondientes. El acceso fue concedido de manera errónea a todas las organizaciones alcanzables por esas cuentas. El número difiere de la referencia inicial de Trezor a 120 cuentas porque las comunicaciones se emitieron en momentos distintos de la investigación.
Ese desfase no cambia el mecanismo principal: una debilidad de autorización dentro de un proveedor multiempresa amplió el radio del incidente. El problema no fue que una base de datos pública revelara claves privadas, sino que una cuenta con alcance excesivo pudiera usar un canal de confianza para dirigirse a listas de terceros. Es un ejemplo claro de riesgo de cadena de suministro en software como servicio.
Trezor dice que sus productos, carteras y sistemas de cuenta no resultaron afectados. También indica que, hasta recibir más información, considera que las cerca de 347.000 direcciones del boletín son conocidas por el atacante y pueden reutilizarse. Esa hipótesis conservadora es adecuada: aunque se bloquee la primera campaña, la lista conserva valor para futuros mensajes desde dominios diferentes.
Dos incidentes en pocas semanas
La marca ya había avisado en agosto de otro compromiso, esta vez en un socio logístico. Aquel episodio expuso datos de al menos 81.000 compradores, incluidos nombres, teléfonos, correos y direcciones postales. Después aparecieron cartas físicas con códigos QR que conducían a páginas falsas. El nuevo caso añade el correo como vector y muestra que el atacante no necesita vulnerar el dispositivo para localizar y presionar a sus propietarios.
Al comparar ambos incidentes emerge un riesgo mayor que la suma de listas. Los datos de envío permiten identificar a una persona y su domicilio; la lista de marketing confirma su interés en una marca de autocustodia. Cruzar conjuntos facilita ataques personalizados e incluso amenazas físicas. Por eso la revisión de proveedores anunciada por Trezor debería abarcar minimización de datos, separación de campañas, retención y permisos, no solo cambiar una contraseña.
Cómo responder sin poner la cartera en peligro
Los usuarios deben eliminar la aplicación descargada si llegaron a instalarla, pero el paso crítico depende de si revelaron la frase. Si la introdujeron, hay que asumir que la cartera está comprometida y trasladar los fondos a una nueva semilla creada en un dispositivo confiable. Cambiar el PIN del mismo monedero no invalida una copia de seguridad ya expuesta.
Para quienes solo recibieron el mensaje, conviene desconfiar de futuras comunicaciones urgentes, escribir manualmente la dirección del fabricante y verificar avisos desde canales separados. No se debe responder al correo ni escanear códigos QR de cartas relacionadas. En España, una denuncia puede documentar el intento y cualquier pérdida, pero la prevención sigue siendo esencial porque las transferencias en cadena no disponen del mecanismo de devolución de una tarjeta bancaria.
La lección empresarial es igualmente concreta: externalizar el envío no externaliza el impacto. Una base de suscriptores vinculada a criptoactivos es información sensible aunque no contenga saldos. Reducir campos, segmentar listas y exigir controles de autorización por organización habría limitado el valor y el alcance del acceso. La brecha de Brevo no rompió la criptografía de Trezor; explotó la confianza que rodea al producto.
