Trezor y BitBox, atacados con un falso aviso del chip STM32

Trezor ha confirmado este viernes que uno de sus proveedores de correo electrónico sufrió una intrusión y que los atacantes aprovecharon esa lista para enviar a sus clientes una alerta falsa: una supuesta vulnerabilidad en el chip STM32 que monta el monedero obligaba, según el mensaje, a poner los fondos a salvo siguiendo unas instrucciones. No existe tal fallo y los dispositivos no están comprometidos, según el propio fabricante. Casi a la vez, BitBox empezó a investigar lo que apunta a un compromiso del proveedor que gestiona su boletín, con correos del mismo tenor circulando entre sus suscriptores. El señuelo es idéntico en los dos casos y persigue lo único que abre un monedero físico desde fuera: las palabras de la frase de recuperación. Ni la empresa checa ni la suiza piden nunca esas palabras por correo. Quien las teclee en una web, por bien imitada que esté, entrega el saldo entero y sin marcha atrás.

El señuelo: un fallo inventado en el chip STM32

El STM32 es una familia de microcontroladores de STMicroelectronics que va dentro de buena parte de los monederos físicos del mercado, incluidos modelos de Trezor y de BitBox. Sobre ese detalle técnico, real y comprobable en cualquier ficha de producto, los atacantes montaron la mentira. El correo habla de una vulnerabilidad crítica en el chip, mete prisa y ofrece un enlace para "verificar" o "migrar" la cartera. Al otro lado espera un formulario que pide las doce o veinticuatro palabras de la semilla.

Funciona porque suena a obligación técnica y no a chollo. Nadie promete dinero: te piden que hagas los deberes. El límite que ninguna marca cruza es fácil de recordar. La frase de recuperación no sale del dispositivo y las actualizaciones de firmware llegan por la aplicación de escritorio del fabricante, que las confirma en la pantalla del aparato. Ninguna de las dos cosas pasa por teclear la semilla en un navegador. En nuestro catálogo de estafas con criptomonedas el patrón tiene nombre desde hace años: suplantación del fabricante, urgencia y formulario.

La brecha estuvo en el correo, no en el monedero

Es la distinción que Trezor, propiedad de la checa SatoshiLabs, ha marcado desde el primer momento: lo que falló fue un proveedor externo de envío de correo, no el elemento seguro donde viven las claves. El aparato no filtró nada. Lo que se filtró fue la lista de a quién escribir, que para un atacante vale casi lo mismo: una dirección de correo asociada a la compra de un monedero físico identifica a alguien que, con toda probabilidad, custodia criptomonedas por su cuenta.

BitBox, de la suiza Shift Crypto, apunta a su plataforma de boletines y sigue investigando. Tampoco ahí hay indicios de que el dispositivo esté afectado. El antecedente que todo el sector recuerda es la filtración de la base de clientes de Ledger en 2020, que derivó en años de correos, SMS y hasta cartas en papel dirigidos a compradores identificados. El eslabón débil vuelve a ser el mismo: las herramientas de marketing que rodean al producto, no el producto. Es un problema viejo y sin arreglar, y pesa al elegir fabricante, como apuntamos en el análisis del Trezor Safe 5.

INCIBE, la AEPD y el plazo de 72 horas

Un usuario en España que reciba uno de estos mensajes tiene dos vías inmediatas. La primera es INCIBE: su línea gratuita de ciberseguridad, el 017, atiende consultas de particulares y recoge reportes de campañas de suplantación como ésta; también publica avisos que sirven para confirmar que un correo es fraudulento antes de tocar nada. La segunda depende de la empresa. Si entre los datos expuestos hay información de clientes europeos, el Reglamento General de Protección de Datos obliga al responsable a notificar la brecha a la autoridad de control en un plazo de 72 horas y, cuando el riesgo para los afectados es alto, a avisarles directamente. En España esa autoridad es la Agencia Española de Protección de Datos, ante la que cabe reclamar si uno se entera de la fuga por el correo del estafador y no por la empresa.

Con el aparato en un cajón y la semilla en papel, la acción sensata es no hacer nada con el correo: borrarlo. Mover fondos por miedo es justo lo que busca la campaña, y ahí aparecen los errores, como recoge la lista de seguridad ordenada por impacto.

Queda por saber qué alcance tuvo cada intrusión y qué datos salieron además de las direcciones de correo. Trezor no ha detallado el número de clientes afectados y BitBox no ha cerrado su investigación. Hasta que lo hagan, el indicador a vigilar es la aparición de dominios nuevos que imiten a los dos fabricantes.

Fuentes

• Attackers exploit fake STM32 vulnerability alert to target Trezor and BitBox holders — CryptoSlate, 11/09/2026

Este artículo no es una recomendación de inversión. Las criptomonedas son un activo volátil y sin cobertura de garantía de depósitos: puedes perder todo el dinero invertido.