Trezor ha revelado que información personal perteneciente a 13,689 clientes fue expuesta después de que un actor no autorizado obtuviera acceso a los sistemas operados por su proveedor de envíos ShipMonk.
Trezor declaró en un aviso de seguridad del 13 de agosto que ShipMonk informó al fabricante de billeteras de hardware el 10 de agosto sobre el acceso no autorizado a sistemas que contenían datos de pedidos de clientes, y que la investigación sobre el incidente aún está en curso.
La brecha afectó a clientes que recibieron pedidos de Trezor entre el 10 de mayo y el 8 de agosto en Estados Unidos, Reino Unido, Suecia, Colombia, Brasil, Italia y Portugal. Trezor afirmó que sus propios sistemas no fueron comprometidos y que sus billeteras de hardware permanecen seguras.
De los clientes afectados, 11,742 tuvieron sus nombres, direcciones de correo electrónico, números de teléfono y direcciones de envío expuestos. Otros 1,947 clientes tuvieron información parcial comprometida, consistente en sus nombres, ciudades y direcciones de correo electrónico.
Los números de pedido también se encontraban entre la información que ShipMonk tenía para las entregas, según la explicación de Trezor sobre el incidente.
ShipMonk sirve como proveedor de logística que almacena productos Trezor y gestiona entregas en EE. UU., Reino Unido y varios otros mercados. La empresa de cumplimiento de pedidos requiere nombres de clientes, direcciones, números de teléfono y direcciones de correo electrónico para procesar los envíos.
Según Trezor, el número de clientes expuestos se limitó por su política de retención de datos de 90 días, que también exige a sus socios de cumplimiento. La información de los clientes asociada con pedidos más antiguos ya había sido eliminada o anonimizada y, por lo tanto, no estaba almacenada en los sistemas afectados de ShipMonk.
Trezor dijo que el período de 90 días fue diseñado para cubrir todo el proceso de pedido, incluyendo la entrega, devoluciones, reembolsos y reemplazos de productos. Una vez finalizado el período, la información del cliente relacionada con la compra se elimina o anonimiza porque la empresa ya no necesita la dirección o el número de teléfono para fines de cumplimiento.
Los clientes afectados han sido notificados por separado a través de correos electrónicos enviados desde [email protected]. Los clientes que no recibieron la notificación de seguridad no se vieron afectados por el incidente, según la empresa.
Desde entonces, ShipMonk ha asegurado los sistemas afectados y ha fortalecido su seguridad tras la brecha, dijo Trezor. Ambas empresas permanecen en contacto mientras trabajan para establecer cómo se produjo el acceso no autorizado y determinar la información exacta a la que se accedió.
El incidente representa la primera vez desde la fundación de Trezor en 2013 que una brecha que involucra a la empresa o a uno de sus proveedores ha expuesto números de teléfono y direcciones de envío de clientes.
“Entendemos absolutamente lo grave que es esto y los riesgos potenciales que representa para nuestros clientes, y lamentamos profundamente lo ocurrido a los afectados”, dijo Trezor.
Aunque los dispositivos de billetera y la infraestructura de Trezor no se vieron afectados, la empresa advirtió que la información personal expuesta podría usarse para crear intentos de phishing más convincentes.
Los atacantes podrían usar el nombre, número de teléfono, correo electrónico o dirección de domicilio de un cliente para hacerse pasar por Trezor, un exchange de criptomonedas o un banco. La empresa dijo que los enfoques fraudulentos podrían llegar a través de correos electrónicos, llamadas telefónicas o cartas físicas.
Tales ataques han tenido como objetivo previamente a propietarios de billeteras de hardware utilizando información personal y comunicaciones de aspecto oficial. En febrero, crypto.news informó sobre cartas falsas enviadas a clientes de Trezor y Ledger que dirigían a los destinatarios a sitios web de phishing a través de códigos QR.
Las cartas decían a los destinatarios que necesitaban completar una autenticación o verificación de transacción e intentaban crear urgencia advirtiendo sobre posibles problemas con la funcionalidad de la billetera. Las páginas de phishing enlazadas solicitaban frases de recuperación de 12, 20 o 24 palabras, lo que daría a los atacantes el control sobre una billetera una vez enviadas.
Las cartas físicas presentan una preocupación particular cuando los atacantes ya poseen los datos postales de una víctima. Una campaña de phishing de Ledger de abril de 2025 involucró de manera similar cartas fraudulentas con la marca Ledger, una dirección comercial y números de referencia individuales.
A los destinatarios de esa campaña se les indicó que escanearan un código QR y proporcionaran su frase de recuperación de 24 palabras bajo la afirmación de que se requería una actualización de seguridad crítica.
Trezor ha dicho a los clientes afectados por la brecha de ShipMonk que traten con sospecha las comunicaciones que exijan una acción inmediata o información personal. También aconsejó a los usuarios que verifiquen los mensajes con sus comunicaciones oficiales y que nunca proporcionen una copia de seguridad de la billetera a través de un sitio web o a otra persona.
Trezor ha lidiado con la exposición de información del cliente a través de servicios de terceros anteriormente, aunque la compañía dijo que el incidente de ShipMonk fue el primero que involucró la filtración de números de teléfono y direcciones de envío.
En enero de 2024, una parte no autorizada accedió a un portal de tickets de soporte de terceros utilizado por Trezor, exponiendo potencialmente información de contacto perteneciente a unos 66,000 clientes que habían interactuado con el equipo de soporte desde finales de 2021.
La empresa notificó a los contactos afectados en ese momento y dijo que los activos digitales no habían sido comprometidos. El incidente involucró el sistema de soporte externo en lugar de las billeteras de hardware de Trezor.
Otro método de phishing surgió en junio de 2025, cuando los atacantes abusaron del formulario de contacto de Trezor enviando solicitudes de soporte utilizando las direcciones de correo electrónico de usuarios específicos. El proceso activó respuestas automatizadas legítimas del sistema de Trezor, haciendo que las comunicaciones de phishing resultantes parecieran más creíbles.
Trezor dijo en ese momento que su infraestructura de correo electrónico no había sido violada y que el formulario de contacto permanecía seguro. Los atacantes, en cambio, explotaron el flujo de trabajo de soporte para hacer que los mensajes fraudulentos parecieran conectados a correspondencia legítima.
La seguridad del hardware ha permanecido por separado bajo escrutinio. En junio, Trezor y Tropic Square revelaron una falla de chip que afectaba al Elemento Seguro TROPIC01 utilizado en Trezor Safe 7 después de que investigadores de Ledger Donjon encontraran la debilidad durante una auditoría independiente.
Ledger Donjon utilizó inyección de fallas láser en condiciones de laboratorio para extraer algunos secretos del chip y eludir las verificaciones de firma de firmware. Trezor dijo que el ataque requería acceso físico y equipo especializado, mientras que otras dos capas de seguridad independientes continuaron protegiendo el acceso a la billetera. No se requirió que los usuarios tomaran ninguna acción.
El incidente de ShipMonk, en comparación, involucró información de pedidos en poder de un proveedor de cumplimiento en lugar del hardware o software responsable de asegurar las claves privadas.
Tras la última divulgación, Trezor también detalló formas en que los clientes pueden reducir la cantidad de información personal conectada a futuras compras de billeteras de hardware.
La empresa recomendó usar una dirección de correo electrónico que no esté vinculada a la identidad principal de un cliente y sugirió pagos con criptomonedas como alternativa a las tarjetas de crédito. Donde esté disponible, los clientes también pueden usar un apartado de correos para reducir la exposición de su dirección de domicilio, aunque aún pueden aplicarse requisitos de identificación y registros del servicio postal.
Trezor también está preparando un servicio de Entrega Anónima diseñado para reducir la información del cliente retenida durante los envíos de billeteras de hardware.
Bajo el sistema planeado, los pedidos utilizarían un proceso de pago dedicado, recogida en taquilla, embalaje neutro e información genérica del remitente. Los identificadores de envío se eliminarían automáticamente después de la entrega.
Trezor dijo que planea que la Entrega Anónima esté disponible en la Unión Europea para septiembre de 2026, seguida de un lanzamiento en EE. UU. para finales de 2026.
