Dos incidentes registrados esta semana han puesto el foco en una vulnerabilidad que va más allá de la seguridad física de las carteras de criptomonedas. D’CENT investiga transferencias no autorizadas relacionadas con su cartera de software App Wallet, mientras que Trezor ha confirmado la exposición de 347.149 contactos de clientes tras el ataque contra su proveedor de marketing Brevo. Ninguna de las dos compañías ha informado de una intrusión en la seguridad de sus dispositivos hardware, pero ambos casos muestran cómo los sistemas que rodean a estos productos pueden abrir una vía hacia los activos.
El riesgo de reutilizar la frase de recuperación
D’CENT recibió el 16 de septiembre los primeros avisos sobre transferencias no autorizadas y detectó que la mayoría de los usuarios afectados utilizaban App Wallet, una aplicación que permite almacenar o importar claves en un teléfono. La empresa todavía investiga el origen y el alcance total de los movimientos y no ha confirmado una intrusión que afecte a sus productos hardware.
El análisis inicial de D’CENT se centra en carteras cuyas frases de recuperación fueron introducidas en App Wallet y que registraban operaciones firmadas en versiones anteriores a la 8.1.0, lanzada el 5 de noviembre de 2025. La posible exposición afecta a Bitcoin, Ethereum, XRP Ledger, Tron y otras redes compatibles con EVM.
La clave está en que una frase de recuperación puede reconstruir las mismas claves privadas en otro dispositivo. Si una cartera se crea en un dispositivo de D’CENT y sus palabras se importan después manualmente en App Wallet, la protección del hardware deja de ser suficiente: la frase también queda expuesta a los riesgos del teléfono y del software.
La compañía aclara que conectar normalmente un dispositivo hardware a su aplicación no transfiere la frase de recuperación al móvil. El riesgo aparece cuando el usuario introduce esas palabras de forma manual en App Wallet. Para quienes encajen en los criterios de la investigación, D’CENT recomienda actualizar la aplicación antes de firmar otra transacción, crear una nueva cartera con una frase distinta y trasladar los activos afectados, en lugar de restaurar la frase antigua en otro dispositivo. La empresa también trabaja con plataformas de intercambio, las autoridades y equipos de investigación de cadenas de bloques para rastrear y, eventualmente, congelar los fondos sustraídos.
Los datos de clientes como puerta de entrada
El incidente de Trezor se originó fuera de la cartera y de la infraestructura principal de la compañía. Brevo comunicó que un atacante aprovechó un fallo en su configuración de inicio de sesión único basado en SAML para acceder a 138 cuentas de clientes. De ellas, 43 sufrieron la exportación de contactos y seis fueron utilizadas para enviar mensajes de suplantación a través de sistemas legítimos.
En el caso de Trezor, quedaron expuestos 347.149 contactos de marketing. Los atacantes enviaron un correo que alertaba de una supuesta vulnerabilidad crítica del dispositivo y pedía descargar una aplicación. El programa solicitaba después la copia de seguridad de la cartera. Unos 2.500 destinatarios llegaron al dominio malicioso antes de que Trezor lo desactivara.
Trezor ha señalado que el simple hecho de pulsar el enlace no ponía los fondos en riesgo. El peligro aparecía si el usuario introducía la copia de seguridad en la aplicación fraudulenta, ya que el atacante podía reconstruir la cartera en otro lugar. Además, una lista verificada de usuarios de dispositivos hardware puede reutilizarse en futuras campañas centradas en alertas de seguridad, actualizaciones de software o solicitudes de soporte.
La seguridad no termina en el dispositivo
Trezor ya había afrontado en agosto otro incidente relacionado con un proveedor de envíos, que expuso nombres, teléfonos y direcciones de entrega, aunque no afectó a sus carteras. La compañía ha suspendido su cuenta de Brevo y revisa las relaciones con sus proveedores y sus requisitos de seguridad. Brevo, por su parte, cerró la vía de inicio de sesión utilizada, restableció las sesiones activas y anunció una solución permanente.
D’CENT afirma que está incorporando nuevas salvaguardas y procedimientos de verificación previos al lanzamiento mientras determina todas las direcciones afectadas y si los activos movidos pueden recuperarse. Ambos casos refuerzan una misma conclusión: las frases de recuperación deben mantenerse fuera de dispositivos conectados y nunca entregarse a través de enlaces o aplicaciones no verificadas.
Para los fabricantes de carteras de autocustodia, el reto ya no se limita a los chips seguros o a la arquitectura de firma. También incluye la protección de las bases de datos de clientes, la supervisión de proveedores externos y el diseño del software complementario. Si la frase termina en un sistema comprometido o en manos de un atacante mediante suplantación, este no necesita vulnerar el dispositivo hardware que debía protegerla.
