Trezor retirará la autorización a una parte de sus distribuidores a partir del 1 de enero de 2027, en una medida preventiva destinada a reforzar el control sobre su cadena de suministro. La decisión llega después de que una investigación de Ledger detectara un componente electrónico no autorizado en una cartera de hardware vendida por un distribuidor oficial.
En una carta fechada el 13 de octubre, Danny Sanders, director comercial de Trezor, explicó que la compañía ya no podía supervisar de forma adecuada a todos los socios de su red de distribución. La empresa revisó sus acuerdos atendiendo a factores como los ingresos, la cobertura comercial y su capacidad para llegar a los clientes antes de que los dispositivos fueran entregados.
Trezor endurece el control de sus distribuidores
Los comercios afectados no recibirán nuevas unidades, aunque podrán seguir vendiendo el inventario que ya tienen durante las campañas de Black Friday y Navidad. El 1 de enero serán eliminados del directorio de distribuidores autorizados de Trezor.
La compañía no ha precisado cuántos negocios perderán esa condición ni qué mercados estarán afectados. Sanders reconoció que la decisión puede tener consecuencias económicas relevantes para pequeños comercios cuyo negocio se ha construido alrededor de los productos de Trezor. Al mismo tiempo, subrayó que la retirada de la autorización no implica que esos socios hayan actuado de forma indebida ni que existan dudas sobre la seguridad del inventario que ya poseen.
Para los distribuidores que mantengan su autorización, Trezor prepara requisitos contractuales más estrictos e inspecciones adicionales. Estas revisiones cubrirán el origen de los dispositivos, su almacenamiento y la forma en que son manipulados antes de llegar al comprador. El cambio puede elevar las obligaciones de cumplimiento para la red restante, pero también permitirá a Trezor tener un mayor control sobre las unidades en circulación.
El caso de Ledger pone el foco en el canal de venta
La reacción de Trezor se produce tras la confirmación de Ledger de que un atacante instaló un componente electrónico no autorizado dentro de una de sus carteras vendida por CryptoBilis, un distribuidor oficial con actividad en el Sudeste Asiático. El equipo de seguridad Donjon de Ledger determinó que el dispositivo podía capturar la frase de recuperación de 24 palabras mostrada durante la configuración y transmitirla mediante una conexión LTE a través de una eSIM integrada.
El componente funcionaba de manera separada del elemento seguro y del sistema operativo del dispositivo. Eso le permitía obtener las credenciales de recuperación sin interferir necesariamente en las funciones habituales de firma de transacciones. Ledger confirmó el hallazgo el 10 de octubre y señaló que todos los robos verificados relacionados con el incidente correspondían a dispositivos comprados a CryptoBilis, que desde entonces ha dejado de vender sus productos.
La investigación, sin embargo, se ha ampliado a otros distribuidores autorizados. El 13 de octubre, MediaMarktSaturn confirmó la suspensión de las ventas de carteras de hardware de Ledger en sus tiendas físicas y plataformas digitales tras un informe sobre un dispositivo manipulado adquirido en Alemania. La compañía indicó que no se habían comunicado pérdidas económicas relacionadas con ese caso.
Más dispositivos bajo revisión
Mark Karpelès, antiguo consejero delegado de Mt. Gox, afirmó haber encontrado un componente de espionaje en una Ledger Flex comprada en un establecimiento de MetaPod situado en el aeropuerto Changi de Singapur. El analista de CryptoQuant Darkfost también señaló una Ledger Flex presuntamente manipulada adquirida en la tienda Challenger de VivoCity, en Singapur. Ninguno de esos hallazgos ha sido confirmado de forma independiente por Ledger ni vinculado al ataque de CryptoBilis.
Los investigadores de la cadena de bloques han relacionado pérdidas potenciales cercanas a 93 millones de dólares con el incidente más amplio, aunque Ledger no ha verificado ni esa cifra ni el número de clientes afectados. La empresa sostiene que sus sistemas internos y sus servicios no han sido comprometidos. Mientras tanto, el equipo Donjon examina otros dispositivos remitidos para tratar de determinar el origen y el alcance de la manipulación.
