Dominio de Trezor Utilizado en un Ataque de Phishing Tras la Brecha de un Proveedor

El fabricante de carteras hardware Trezor advirtió a los usuarios el miércoles que se habían enviado correos electrónicos de phishing desde su dominio oficial tras la brecha de un proveedor de correo electrónico de terceros. El mensaje fraudulento, titulado 'Alerta Crítica de Seguridad: Vulnerabilidad de Entropía STM32', instruía a los clientes a hacer clic en un enlace para instalar una actualización de firmware falsa.

El phishing era convincente porque llevaba el dominio legítimo de Trezor y firmas, no la típica dirección similar que la mayoría de los usuarios ha aprendido a detectar. El comentarista de criptomonedas Marcello Paz compartió capturas de pantalla que mostraban que el correo electrónico llegó a verdaderos clientes de Trezor, y el rival suizo BitBox informó de un correo electrónico de phishing casi idéntico que afectó a sus usuarios el mismo día.

Por qué es importante

Esta es la segunda brecha de terceros de Trezor en dos meses. En mayo, una brecha en el proveedor de envíos ShipMonk expuso inicialmente nombres, ciudades y direcciones de correo electrónico de aproximadamente 13,700 clientes, una cifra que Trezor luego revisó al alza a 67,000 clientes estadounidenses afectados. El perímetro del proveedor, no el dispositivo en sí, es ahora el patrón.

El hardware en sí no ha sido vulnerado esta vez. En junio, el equipo de investigación Donjon de Ledger divulgó un ataque de inyección de fallos con láser basado en laboratorio contra el elemento seguro TROPIC01 dentro del Trezor Safe 7, pero Trezor dijo que no se expusieron fondos de usuarios. La falla recurrente es operativa: etiquetas de envío, listas de correo, infraestructura de correo electrónico. Cada una de ellas ofrece a los atacantes un nuevo vector hacia la misma base de usuarios.

Impacto en el mercado

El costo inmediato es reputacional, no técnico. Los usuarios que hicieron clic en el enlace e ingresaron frases semilla están expuestos, y Trezor aún no ha revelado si se perdieron fondos. La lectura más amplia es para la autocustodia a gran escala: cada integración de terceros expande la superficie de ataque más allá de lo que una cartera hardware puede asegurar por sí sola.

El patrón es general en la industria. Una brecha en Ledger en 2020 expuso a más de 270,000 clientes, y los usuarios de Ledger han seguido reportando llamadas telefónicas de estafa y cartas físicas años después. Trezor ha eliminado el dominio afectado y está investigando cómo los atacantes obtuvieron credenciales de remitente legítimas. Por ahora, la lectura más segura es nunca confiar en una actualización de cartera hardware que llegue por correo electrónico.