Dos incidentes registrados esta semana han puesto el foco en un riesgo que va más allá de la seguridad del dispositivo físico: el entorno de software, los proveedores externos y los datos de los usuarios. D’CENT investiga transferencias no autorizadas vinculadas a su cartera de aplicación, mientras que Trezor ha confirmado la exposición de 347.149 contactos de correo electrónico tras una intrusión en su proveedor de marketing, Brevo.
Ninguna de las dos compañías ha informado de una vulneración de la seguridad de sus carteras de hardware. Sin embargo, ambos casos muestran cómo un atacante puede acercarse a la frase de recuperación —las palabras que permiten reconstruir una cartera y controlar sus activos— sin necesidad de comprometer directamente el dispositivo físico.
El riesgo de trasladar la frase de recuperación al móvil
D’CENT comenzó a recibir el 16 de septiembre informes sobre transferencias no autorizadas. La empresa asegura que la mayoría de los usuarios afectados utilizaba su App Wallet, una cartera de software que almacena o importa las claves en el teléfono. La investigación continúa abierta y todavía no ha determinado la causa ni el alcance total de los movimientos.
La compañía ha centrado inicialmente el análisis en carteras que cumplían dos condiciones: que su frase de recuperación hubiera sido introducida en App Wallet y que hubieran firmado transacciones con versiones anteriores a la 8.1.0, publicada el 5 de noviembre de 2025. La posible exposición incluye Bitcoin, Ethereum, XRP Ledger, Tron y otras redes compatibles con Ethereum.
La diferencia entre conectar el dispositivo e importar sus credenciales resulta determinante. Según D’CENT, cuando una cartera de hardware se conecta normalmente a la aplicación, la frase de recuperación no se transfiere al teléfono. En cambio, al introducir manualmente esas palabras en App Wallet, la misma cartera puede reconstruirse en el software y queda expuesta a los riesgos de ese entorno.
La empresa recomienda a los usuarios que encajen en sus criterios actualizar la aplicación antes de firmar otra transacción, crear una nueva cartera respaldada por una frase de recuperación distinta y trasladar los activos afectados. También trabaja con plataformas de intercambio, investigadores de cadenas de bloques y las fuerzas de seguridad para rastrear y, si es posible, congelar los fondos sustraídos.
Una base de datos de correos como puerta de entrada al fraude
El incidente de Trezor se produjo más lejos del dispositivo. Brevo comunicó que un atacante aprovechó un fallo en su sistema de inicio de sesión único basado en SAML para acceder a 138 cuentas de clientes. Los contactos fueron exportados desde 43 cuentas y seis de ellas se utilizaron para enviar correos de suplantación desde una infraestructura legítima.
En el caso de Trezor, quedaron expuestos 347.149 contactos de marketing. Los atacantes enviaron un mensaje que alertaba de una supuesta vulnerabilidad crítica en el hardware y pedía descargar una aplicación. Ese programa solicitaba posteriormente la copia de seguridad de la cartera. Cerca de 2.500 destinatarios llegaron al dominio malicioso antes de que Trezor lo desactivara.
Trezor ha subrayado que hacer clic en el enlace no bastaba para poner los fondos en riesgo. El peligro aparecía si el usuario introducía la frase de recuperación en la aplicación fraudulenta, ya que el atacante podía reconstruir la cartera en otro dispositivo. La lista de correos, además, puede seguir utilizándose en campañas posteriores relacionadas con alertas de seguridad, actualizaciones o supuestas solicitudes de soporte.
La seguridad se extiende a proveedores y aplicaciones
Trezor suspendió su cuenta de Brevo y revisa sus relaciones con proveedores y sus requisitos de seguridad. Brevo cerró la vía de acceso utilizada, restableció las sesiones activas y anunció una solución permanente para limitar la autenticación a la organización propietaria de cada configuración de inicio de sesión único. D’CENT, por su parte, prepara nuevas salvaguardas y procedimientos de verificación previos al lanzamiento mientras prosigue su investigación.
Los dos episodios refuerzan una conclusión incómoda para el sector de la autocustodia: proteger el chip y el sistema de firma no es suficiente si la frase acaba en una aplicación comprometida o se entrega mediante ingeniería social. La seguridad también depende de cómo se gestionan los datos de los clientes, se supervisa a los proveedores externos y se diseñan las herramientas que acompañan a la cartera física.
