Trezor ha confirmado que otros 67.000 clientes estadounidenses se vieron afectados por una brecha de seguridad sufrida por ShipMonk, su antiguo proveedor de servicios de envío. La exposición dejó al descubierto información personal relacionada con pedidos realizados entre noviembre de 2019 y agosto de 2021, aunque la compañía ha aclarado que el incidente no compromete la seguridad de sus monederos hardware ni las criptomonedas almacenadas en ellos.
El incidente vuelve a poner el foco en uno de los principales riesgos actuales para las empresas tecnológicas y financieras: la seguridad de terceros y los ataques a la cadena de suministro. En este caso, una vulnerabilidad crítica explotada contra la infraestructura de un proveedor logístico terminó exponiendo información asociada a clientes de Trezor.
¿Qué datos de los clientes de Trezor quedaron expuestos?
De acuerdo con la información proporcionada por Trezor, los datos comprometidos incluyen nombres de clientes, direcciones de correo electrónico, números de teléfono, direcciones de envío y números de pedido.
La compañía ha indicado que la información corresponde a operaciones realizadas durante el periodo comprendido entre noviembre de 2019 y agosto de 2021. En una actualización posterior, Trezor también explicó que un grupo de 1.947 clientes podría estar relacionado con pedidos antiguos y que su exposición se limitó a nombres, ciudades y direcciones de correo electrónico, sin incluir las direcciones de envío.
En total, este nuevo grupo de aproximadamente 67.000 personas se suma a los 13.689 clientes afectados que Trezor había identificado previamente. La compañía continúa analizando el alcance del incidente y ha comunicado directamente la situación a los usuarios afectados.
Es importante destacar que la información expuesta corresponde principalmente a datos personales y logísticos, no a las claves privadas necesarias para controlar los activos digitales almacenados en los dispositivos de Trezor.
La brecha de Trezor no compromete los monederos hardware
Uno de los aspectos más importantes de esta brecha de seguridad es diferenciar entre la exposición de datos personales y el compromiso de los dispositivos de almacenamiento de criptomonedas.
Trezor ha asegurado que el incidente ocurrido en los sistemas de ShipMonk no afecta la seguridad de las carteras hardware de la compañía. Por lo tanto, la exposición de nombres, teléfonos, direcciones o información de pedidos no significa que los atacantes puedan acceder directamente a las claves privadas o transferir fondos desde un monedero hardware.
Sin embargo, esto no significa que el incidente carezca de consecuencias. Los datos personales filtrados pueden convertirse en una herramienta muy útil para los ciberdelincuentes, especialmente cuando se combinan con técnicas de ingeniería social, phishing y suplantación de identidad.
Trezor cuestiona la eliminación de los datos de clientes
Uno de los elementos más llamativos del incidente está relacionado con la política de conservación de información.
Trezor explicó que durante su relación comercial con ShipMonk solicitó en repetidas ocasiones garantías por escrito de que los datos serían eliminados de acuerdo con las obligaciones contractuales y las políticas establecidas.
La compañía sostiene que recibió confirmaciones de que dicha eliminación se había realizado. Sin embargo, posteriormente descubrió que determinados datos de clientes seguían presentes en los sistemas del proveedor logístico.
Trezor señala que su política establece la eliminación o anonimización de los datos relacionados con una compra en su tienda electrónica después de 90 días. Este periodo fue elegido porque, según la empresa, permite cubrir el ciclo completo de un pedido, incluyendo entrega, devoluciones, reembolsos y posibles reemplazos.
El descubrimiento de información mucho más antigua plantea preguntas importantes sobre la gobernanza de datos, cumplimiento contractual y supervisión de proveedores tecnológicos.
¿Cómo ocurrió la brecha de ShipMonk?
ShipMonk habría sufrido un acceso no autorizado a sus sistemas, incidente que fue comunicado a Trezor el 10 de agosto de 2026.
Según los datos disponibles, el ataque estaría relacionado con la explotación de una vulnerabilidad zero-day crítica en Metabase, identificada como CVE-2026-72898, con una puntuación CVSS de 10.0.
La vulnerabilidad está asociada a una inyección SQL, una categoría de fallo que puede permitir a un atacante manipular consultas realizadas contra bases de datos y acceder a información que debería permanecer protegida.
La explotación de una vulnerabilidad de este tipo adquiere especial relevancia cuando el software afectado se encuentra integrado en los procesos internos de una organización y contiene información perteneciente a múltiples clientes.
En este caso, los datos asociados a Trezor se encontraban almacenados en una instancia de Metabase utilizada por ShipMonk. Esto convirtió al proveedor logístico en un punto de entrada potencial hacia información perteneciente a distintas organizaciones.
ShinyHunters sería el grupo detrás del ataque
La empresa de seguridad blockchain Holborn ha señalado al grupo de extorsión ShinyHunters como posible responsable de la intrusión.
Aunque ShipMonk todavía no habría reconocido públicamente el incidente, se ha informado de que la compañía aseguró los sistemas afectados y adoptó medidas adicionales para reforzar su infraestructura de seguridad después del ataque.
La posible participación de un grupo de extorsión añade otra dimensión al incidente, ya que los datos robados pueden utilizarse tanto para presionar a la organización afectada como para realizar campañas posteriores contra las personas cuyos datos fueron expuestos.
El principal riesgo para los usuarios: phishing y ataques de ingeniería social
Trezor ha advertido a los clientes afectados que deben permanecer especialmente atentos ante comunicaciones sospechosas.
Los datos filtrados pueden proporcionar a los delincuentes suficiente contexto para elaborar campañas de phishing altamente personalizadas. En lugar de enviar mensajes genéricos, un atacante podría utilizar el nombre del cliente, su número de teléfono, una dirección antigua o información relacionada con un pedido para crear una comunicación aparentemente legítima.
Por ejemplo, un ciberdelincuente podría hacerse pasar por el equipo de soporte de Trezor y afirmar que existe un problema con una compra, un envío o la seguridad de una cartera.
También podría solicitar al usuario que acceda a una página falsa, descargue un programa malicioso o proporcione información confidencial.
Los ataques podrían producirse mediante correo electrónico, llamadas telefónicas, mensajes o incluso comunicaciones físicas enviadas por correo postal. Precisamente por disponer de direcciones de envío, los delincuentes podrían desarrollar técnicas de ingeniería social mucho más convincentes.
¿Qué deben hacer los clientes afectados?
Los usuarios de Trezor deben extremar las precauciones ante cualquier comunicación relacionada con sus dispositivos, pedidos o criptomonedas.
Una regla fundamental es no proporcionar nunca la frase de recuperación, claves privadas, códigos de seguridad o credenciales a ninguna persona que contacte alegando pertenecer a Trezor.
También es recomendable desconfiar de mensajes que generen sensación de urgencia, especialmente aquellos que amenacen con bloquear una cuenta, cancelar un pedido o poner en riesgo los fondos si el usuario no actúa inmediatamente.
Los clientes deberían verificar cualquier comunicación utilizando únicamente canales oficiales y evitar hacer clic en enlaces incluidos en mensajes inesperados.
Un nuevo ejemplo del riesgo de los proveedores externos
La brecha de Trezor demuestra que la ciberseguridad de una organización no termina en sus propios servidores.
Las empresas pueden implementar controles de seguridad sólidos y, aun así, quedar expuestas debido a una vulnerabilidad presente en un proveedor externo. Este fenómeno se conoce como riesgo de terceros y constituye uno de los desafíos más importantes para las organizaciones modernas.
El caso ShipMonk también evidencia la importancia de conocer dónde se almacenan los datos, cuánto tiempo permanecen disponibles, quién tiene acceso a ellos y qué mecanismos existen para verificar que realmente sean eliminados cuando finaliza el periodo de conservación.
Para las empresas que manejan información sensible, no basta con firmar contratos con proveedores. Es necesario establecer mecanismos de auditoría, controles de acceso, supervisión continua y procedimientos de respuesta ante incidentes.
La lección de seguridad que deja el incidente
El caso Trezor-ShipMonk pone de manifiesto cómo una vulnerabilidad crítica puede provocar consecuencias mucho más amplias que las inicialmente previstas.
La explotación de CVE-2026-72898 habría permitido comprometer sistemas de un proveedor y acceder a información relacionada con diferentes clientes. Esto convierte el incidente en un claro ejemplo de ataque a la cadena de suministro y de la necesidad de mantener una visión integral del riesgo tecnológico.
Para los usuarios, la principal amenaza inmediata no parece ser el acceso directo a los monederos hardware, sino el posible uso de los datos personales expuestos para desarrollar campañas de phishing, fraude y suplantación.
Para las empresas, el mensaje es todavía más amplio: proteger los datos de los clientes también implica controlar la seguridad de cada proveedor que los procesa o almacena.
A medida que las organizaciones dependen de un número creciente de servicios externos, la gestión del riesgo de terceros se convierte en una pieza esencial de cualquier estrategia moderna de ciberseguridad. El incidente que afecta a Trezor demuestra que una brecha aparentemente localizada puede terminar teniendo repercusiones sobre decenas de miles de personas.
La recomendación para los usuarios afectados es clara: mantenerse alerta, verificar cualquier comunicación relacionada con Trezor y recordar que ningún representante legítimo debería solicitar la frase de recuperación o las claves privadas de un monedero hardware.
Fuente: The Hacker News
