La filtración de Trezor se amplió el 4 de septiembre de 2026. El fabricante de hardware wallets avisó a 67.000 clientes más en Estados Unidos, después de un primer aviso que alcanzaba a 13.689 personas en varios países. En total, la brecha roza los 80.000 afectados. La buena noticia llega primero: las claves privadas y las frases de recuperación no se filtraron.
Esa distinción es la clave para entender la filtración de Trezor. Lo expuesto fueron datos personales, no el control de los fondos. Aun así, la fuga tiene consecuencias reales para cualquier titular en España y América Latina que haya comprado uno de estos dispositivos.
Qué datos se filtraron
Los registros incluyen nombres, correos electrónicos, teléfonos, direcciones de envío y números de pedido. Corresponden a compras hechas en Estados Unidos entre noviembre de 2019 y agosto de 2021. El origen no estuvo en Trezor, sino en Shipmonk, su socio logístico. Los atacantes aprovecharon un fallo de inyección SQL en Metabase, una herramienta de análisis que usaba ese proveedor.
Metabase avisó a Shipmonk alrededor del 6 de agosto y corrigió el fallo. El dispositivo Trezor en sí no se vio comprometido, y quien guarda su frase semilla fuera de línea conserva el control de sus criptomonedas. El problema es otro: ahora circula una lista de personas que casi con seguridad tienen activos digitales en casa.
Por qué importa aunque las claves estén a salvo
Una base de datos así vale mucho para el fraude dirigido. Con un nombre, un correo y un pedido de hardware wallet, un atacante puede montar un mensaje de phishing muy creíble. El clásico es un aviso falso que pide "verificar" la frase de recuperación en una web copiada. Quien la introduce, pierde todo.
El segundo riesgo es físico. Una dirección de envío revela dónde vive alguien que probablemente custodia cripto. El sector lo llama el ataque de la llave inglesa: coacción directa en lugar de trucos informáticos. No es un temor teórico cuando los datos ya están fuera. Estos vectores se parecen a los de una falsa app que propagaba malware hace pocos días.
Qué puede hacer el titular en español
La regla de oro no cambia: nadie legítimo pide tu frase de recuperación, ni Trezor ni un exchange ni un soporte técnico. Conviene desconfiar de cualquier correo o llamada que llegue sin haberla pedido, revisar el dominio real antes de pulsar un enlace y activar la verificación en dos pasos donde sea posible. La frase semilla se escribe en papel o metal, nunca en una pantalla conectada.
Trezor promociona ahora un sistema de entrega anónima, con lanzamiento en Europa previsto para septiembre de 2026 y en Estados Unidos hacia final de año. Ayuda con el riesgo físico, aunque no borra los datos ya filtrados. MiCA regula a los proveedores de servicios en Europa, pero la autocustodia queda fuera de su alcance: la seguridad depende del propio usuario.
La lección va más allá de una marca. La autocustodia protege frente a la quiebra de una plataforma, pero traslada la responsabilidad a quien guarda las llaves. Los grandes fallos de 2026, desde los hackeos en DeFi hasta esta fuga logística, comparten un patrón: el eslabón débil rara vez es la criptografía, casi siempre es el proceso alrededor.