Información personal de 13.689 clientes de Trezor quedó expuesta a partir de una filtración sufrida por uno de sus proveedores logísticos y encendió las alarmas en la comunidad de criptomonedas.
La compañía remarcó que sus dispositivos, sistemas internos, claves privadas y copias de seguridad de las billeteras no fueron comprometidos, aunque admitió que la información robada podría ser utilizada para lanzar campañas de phishing y estafas dirigidas.
El incidente se originó en ShipMonk, empresa encargada del almacenamiento y despacho de pedidos de Trezor, tras detectar el 10 de agosto pasado un acceso no autorizado a sistemas que contenían registros de clientes, según informó el fabricante,
El alcance de la filtración se divide en dos grupos:
La compañía indicó que el incidente afectó a clientes de Estados Unidos, Reino Unido, Suecia, Colombia, Brasil, Italia y Portugal que recibieron sus dispositivos durante el período alcanzado por la investigación.
Además, Trezor también señaló que sus políticas de almacenamiento limitado de datos contribuyeron a reducir el volumen de información potencialmente expuesta.
La filtración no implica que los atacantes hayan obtenido las criptomonedas de los usuarios ni las claves necesarias para moverlas.
El problema sería que podrían disponer de información personal y saber que una persona compró una billetera de hardware puede permitir a los delincuentes diseñar ataques mucho más convincentes.
El escenario más probable es una inminente oleada de mensajes que simulen provenir de Trezor, ya que un atacante podría utilizar el nombre del usuario, su dirección de correo o, incluso, información relacionada con la compra para generar una sensación de legitimidad y urgencia.
Por su parte, la empresa advirtió que el phishing continúa siendo una de las principales amenazas para los usuarios de criptomonedas y recordó que nunca solicitará la frase de recuperación, el PIN, contraseñas ni códigos de seguridad.
Un atacante que consiga convencer a un usuario de entregar su frase de recuperación puede obtener el control de sus fondos.
En una billetera autocustodiada, las transacciones son irreversibles y no existe un mecanismo tradicional para revertirlas.
Ante el incidente, Trezor anunció que trabaja en una modalidad de entrega anónima que permita comprar sus dispositivos sin asociar el pedido con la dirección particular o la identidad real del comprador.
La compañía además apunta a comenzar a ofrecer esta alternativa en la Unión Europea durante septiembre.
La empresa marcó que, hasta el momento, no tiene conocimiento de casos confirmados de estafas, hackeos o amenazas contra la seguridad física de clientes que puedan atribuirse a esta filtración.
Para los clientes potencialmente afectados, la principal recomendación es tomar precauciones frente a cualquier comunicación que mencione Trezor.
Según la empresa, no se debe hacer clic en enlaces recibidos por correo o mensajería que soliciten actualizar la billetera, verificar una cuenta, modificar el PIN o introducir la frase de recuperación.
También conviene acceder a los servicios de Trezor escribiendo manualmente la dirección oficial o utilizando canales previamente verificados.
Desde la firma resaltaron que nadie de Trezor necesita conocer la frase de recuperación del usuario, y subrayaron que, si alguien la solicita, se trata de una señal inequívoca de fraude.
El caso demuestra que, incluso cuando las claves privadas y los dispositivos permanecen protegidos, una filtración de datos personales puede convertirse en una puerta de entrada para ataques de ingeniería social.
Para los usuarios de criptomonedas, la seguridad empieza mucho antes de firmar una transacción, ya que también implica proteger la información que permite a un delincuente identificarlos como potenciales objetivos.