Trezor: correos de phishing enviados desde su dominio legítimo

Trezor, el fabricante checo de monederos físicos, ha confirmado que los correos fraudulentos que llevan días llegando a sus clientes salieron de un dominio propio. No de una imitación con una letra cambiada: de una dirección auténtica de la compañía, con las firmas técnicas en regla y el aspecto de cualquier aviso oficial. El origen está en una brecha de seguridad en un proveedor externo, el servicio de correo con el que trabaja la empresa, y no en los dispositivos ni en el software que custodia las claves de los usuarios. The Block publicó el caso en la madrugada del 10 de septiembre. Llega pocas semanas después de otra intrusión, la de ShipMonk, el operador logístico que gestiona los envíos de la marca, que dejó al descubierto datos personales de sus compradores. Quién compró un monedero, con qué correo y a qué dirección: justo el material que hace falta para escribir un fraude creíble.

Por qué el phishing desde un dominio legítimo esquiva los filtros

El consejo de manual dice: mira quién te escribe. Aquí eso no sirve de nada. Un correo enviado desde la infraestructura real de Trezor pasa las comprobaciones de SPF, DKIM y DMARC, que son las que usan Gmail o Outlook para decidir si un mensaje es lo que dice ser. Nada falla. No hay dominio parecido, ni servidor sospechoso, ni la etiqueta de remitente externo que algunos clientes de correo colocan.

El atacante hereda, además, la reputación acumulada del dominio: años de mensajes legítimos que hacen que el filtro lo trate con confianza. El resultado es un mensaje que aterriza en la bandeja de entrada, no en spam, y que un usuario cuidadoso puede revisar cabecera a cabecera sin encontrar el fallo. Lo único que delata la campaña es lo que pide.

ShipMonk: la lista de compradores que circula desde agosto

La intrusión del mes pasado en ShipMonk expuso información personal de clientes de Trezor. Un fichero así vale mucho más que una lista de correos comprada a granel, porque cada línea confirma dos cosas incómodas: esa persona tiene criptomonedas y le preocupan lo suficiente como para gastarse dinero en guardarlas fuera de un exchange. También incluye direcciones físicas, que es un problema distinto y más desagradable.

Ledger pasó por lo mismo en 2020, cuando el robo de su base de datos de comercio electrónico derivó en años de correos, SMS y cartas fraudulentas dirigidas a sus compradores. La lección de aquel episodio es que estos ficheros no caducan: circulan, se revenden y reaparecen. La campaña que ahora sufre Trezor no es un envío masivo a ciegas, sino correos dirigidos a gente de la que se sabe qué compró y cuándo.

Las palabras de la semilla son la única puerta abierta

El incidente y el aparato son cosas distintas. Un monedero físico guarda las claves privadas dentro del propio dispositivo y firma cada operación en él; el usuario aprueba en su pantalla el destino y el importe. Aunque el ordenador esté infectado, la firma no sale sin ese botón. Por eso el atacante no va contra el hardware: va contra el dueño.

Y siempre acaba en el mismo sitio. El correo lleva a una web que reproduce la imagen de la marca y pide las doce o veinticuatro palabras de recuperación para «verificar la cuenta», «migrar a un nuevo estándar de seguridad» o «restaurar el acceso tras el incidente». Quien las escribe entrega el monedero entero, y la transferencia se ejecuta en minutos desde otra máquina. En nuestros análisis del Trezor Safe 5 y del Ledger Nano X ese es el punto que se repite: el aparato resuelve el problema técnico, pero la semilla escrita en un papel sigue siendo un secreto que sólo protege quien lo tiene. Nuestra guía sobre billeteras frías y calientes explica dónde encaja cada opción.

Qué pide Trezor por correo y qué no pedirá nunca

Ningún fabricante solicita la semilla por correo, ni por teléfono, ni a través de un formulario de soporte. Tampoco se instala firmware desde un enlace recibido: las actualizaciones se hacen desde Trezor Suite, la aplicación oficial, con el dispositivo conectado. La prisa es la otra señal. Un mensaje que anuncia que la cuenta está comprometida y da un plazo corto para actuar está diseñado para que el lector no piense; el catálogo de estafas con criptomonedas lleva años describiendo ese mismo patrón con otras marcas.

Quien haya comprado un dispositivo en los últimos meses debería dar por hecho que su nombre y su dirección están en circulación, y tratar cualquier comunicación de la marca abriendo la web a mano en el navegador en lugar de pulsar el enlace del correo.

Trezor no ha identificado públicamente al proveedor afectado, ni ha precisado durante cuánto tiempo estuvo abierto el acceso o cuántos mensajes llegaron a salir. Tampoco se sabe si esa misma vía se ha usado contra otras empresas del sector que comparten proveedor. Ninguna de esas respuestas ha llegado todavía.

Fuentes

• Trezor says third-party security breach led to phishing emails from legitimate domain — The Block, 10/09/2026

Este artículo no es una recomendación de inversión. Las criptomonedas son un activo volátil y sin cobertura de garantía de depósitos: puedes perder todo el dinero invertido.