El 9 de septiembre de 2026, varios actores clave del ecosistema cripto, entre ellos Trezor, BitBox y CoinTracking, fueron blanco de una sofisticada campaña de phishing. El incidente no se originó por una vulnerabilidad interna de estas empresas, sino por la vulneración de su proveedor de servicios de email marketing, Brevo. Al acceder a las cuentas oficiales de dichas sociedades, los atacantes pudieron difundir correos fraudulentos con una apariencia de autenticidad absoluta, eludiendo los protocolos de seguridad habituales como SPF, DKIM y DMARC.

La estrategia se basaba en una alerta de seguridad alarmista sobre un supuesto fallo crítico relacionado con los chips STM32. Se incitaba a las víctimas a hacer clic en un enlace malicioso que invitaba a descargar una aplicación de terceros. Una vez instalada, esta solicitaba la frase de recuperación de los usuarios, otorgando a los piratas informáticos acceso directo a los fondos almacenados en las carteras físicas. Aunque Trezor reaccionó con rapidez desactivando el dominio fraudulento en menos de veinte minutos, el ataque afectó a cerca de 2 500 personas de un total de 347 000 objetivos potenciales.

La investigación realizada por Brevo reveló el alcance de la brecha: se consultaron 138 cuentas de clientes, de las cuales seis fueron secuestradas directamente para el envío de mensajes maliciosos, mientras que otras 43 sufrieron la exfiltración de sus bases de datos de contactos. Este incidente pone de manifiesto una fragilidad sistémica: la creciente dependencia de las empresas cripto hacia proveedores externos. Si bien los dispositivos físicos (hardware wallets) siguen siendo robustos, la seguridad global de un usuario depende hoy tanto de la ciberseguridad de los proveedores de servicios que orbitan alrededor de estos fabricantes como de la protección de sus propios activos.

Este caso se enmarca en una etapa especialmente delicada para Trezor, que ha sufrido varios fallos por parte de sus socios en el transcurso de un mes. Tras la filtración de datos en su empresa de logística ShipMonk, que dejó expuestos los datos personales de más de 80 000 clientes, esta nueva intrusión confirma que la cadena de suministro digital constituye el eslabón más débil en la actualidad. Los riesgos son considerables: más allá de la pérdida financiera inmediata para aquellos que divulgaron su frase de recuperación, la proliferación de estos ataques subraya la necesidad de que los actores del sector refuercen drásticamente los protocolos de seguridad de sus subcontratistas.