Trezor expone 347.000 contactos a ataques de phishing

Dos incidentes recientes relacionados con D’CENT y Trezor muestran que la seguridad de las billeteras de hardware puede mantenerse intacta mientras el software circundante, los proveedores y los datos de los clientes crean nuevas vías de acceso a los fondos de los usuarios. D’CENT investiga transferencias no autorizadas desde su App Wallet, mientras que una brecha en el proveedor de marketing de Trezor expuso 347.149 contactos de correo electrónico de clientes. Ninguna de las dos empresas ha informado de una vulneración de la seguridad de sus billeteras de hardware.

Por qué importa

La investigación de D’CENT se centra en usuarios que introdujeron frases de recuperación en su billetera de software y firmaron transacciones en versiones anteriores a la 8.1.0. Una frase generada en un dispositivo de hardware puede recrear las mismas claves privadas en otro lugar, por lo que importarla en una billetera para teléfono amplía el riesgo más allá del entorno seguro de firma del dispositivo. La posible exposición incluye Bitcoin, Ethereum, XRP Ledger, Tron y redes compatibles con EVM.

El incidente de Trezor muestra una vía diferente. Los atacantes aprovecharon un fallo en el sistema de inicio de sesión único SAML del proveedor de marketing Brevo, exportaron contactos de 43 cuentas de clientes y utilizaron seis cuentas para enviar correos de phishing a través de una infraestructura de confianza. La lista expuesta de Trezor incluía 347.149 contactos. Unos 2.500 destinatarios llegaron a un dominio malicioso después de recibir una alerta falsa sobre una vulnerabilidad de hardware que solicitaba copias de seguridad de las billeteras.

Impacto en el mercado

Hacer clic en el enlace de Trezor por sí solo no expuso los fondos. El peligro comenzó cuando los usuarios introdujeron una frase de recuperación en la aplicación maliciosa, lo que permitió a los atacantes reconstruir las billeteras en otro lugar. D’CENT también señaló que conectar normalmente un dispositivo de hardware a su aplicación no transfiere la frase al teléfono, mientras que la importación manual sí lo hace.

Los incidentes elevan las exigencias de seguridad para los proveedores de autocustodia. Las empresas de billeteras deben proteger no solo los chips seguros y los sistemas de firma de transacciones, sino también las bases de datos de clientes, los flujos de software y los proveedores externos. Se recomienda a los usuarios que cumplen los criterios de D’CENT actualizar la aplicación, crear una billetera con una nueva frase de recuperación y mover los activos afectados. Ambos casos refuerzan la misma regla: las frases de recuperación deben permanecer fuera de línea y nunca deben introducirse en software ni en formularios de phishing.