Trezor retira distribuidores tras ataque de implante a Ledger

Trezor retirará a determinados distribuidores autorizados de su red el 1 de enero de 2027, después de que un ataque con un implante contra su rival Ledger expusiera los riesgos de la distribución de hardware wallets. Los comercios afectados no recibirán más inventario, pero podrán vender las existencias actuales durante las campañas de Black Friday y Navidad. Trezor afirmó que no había encontrado pruebas de que los dispositivos de su propia red estuvieran comprometidos.

Por qué es importante

La investigación de Ledger mostró cómo los atacantes podían introducir un componente electrónico no autorizado en una wallet antes de su venta. Ledger afirmó que su equipo Donjon detectó un implante capaz de capturar la frase de recuperación de 24 palabras durante la configuración y transmitirla mediante una conexión LTE con una eSIM integrada. El componente funcionaba de forma independiente del Secure Element y del sistema operativo de la wallet, por lo que la firma normal de transacciones podía continuar.

El director comercial de Trezor, Danny Sanders, afirmó que la empresa ya no podía inspeccionar adecuadamente a todos los socios de su red de distribución existente. La compañía revisó los mercados en función de los ingresos, la cobertura de distribución y su capacidad para llegar a los clientes antes de decidir qué alianzas terminar. Sanders describió la medida como preventiva y señaló que una hardware wallet solo es tan segura como el recorrido que hace hasta llegar a su propietario.

Impacto en el mercado

Los cambios trasladan una mayor responsabilidad a los distribuidores autorizados. Los comercios que mantengan la autorización tendrán que cumplir requisitos contractuales más estrictos y someterse a inspecciones adicionales sobre el origen, el almacenamiento y la gestión de los dispositivos. Las empresas más pequeñas que pierdan la autorización podrían afrontar consecuencias financieras importantes, aunque Trezor afirmó que la decisión no implicaba una acusación de conducta indebida ni pruebas de que sus existencias actuales fueran inseguras.

El incidente general sigue sin resolverse. Ledger confirmó robos verificados relacionados con dispositivos vendidos por CryptoBilis, mientras que los informes sobre otros comercios de Alemania y Singapur no han sido confirmados de forma independiente ni vinculados al mismo ataque. Investigadores independientes han relacionado pérdidas sospechadas cercanas a los 93 millones de dólares con el incidente general, pero Ledger no ha verificado ese total.