Trezor filtró datos de 13 mil clientes. Ledger pasó por lo mismo en 2020, pero afectó 292 mil personas
Se filtraron el conjunto de datos de aquellos que compraron alguna cold wallet de Trezor, incluyendo nombres, teléfonos, correos y direcciones postales. Trezor lo comunicó el jueves 13 con una apertura poco habitual para un comunicado corporativo: tenemos noticias difíciles para compartir. El origen fue ShipMonk, uno de sus proveedores de logística, que almacena y despacha sus productos. La empresa avisó el lunes que un tercero no autorizado había accedido a sistemas con datos de clientes.
El alcance exacto
En total 13.689 clientes afectados, divididos en dos categorías: 11.742 con exposición completa —nombre, correo, teléfono y dirección de envío— y 1.947 con exposición parcial, apenas nombre, ciudad y correo. También se filtraron números de pedido.
Alcanza a quienes recibieron una orden en Estados Unidos, Reino Unido, Suecia, Colombia, Brasil, Italia o Portugal dentro de los 90 días previos al 8 de agosto. Todos los afectados fueron notificados por correo de manera individual, y la regla que dio Trezor es simple: si no te llegó el mail, no estás en la lista. Los envíos a través de ese proveedor quedaron pausados mientras avanza la investigación, que se coordina con las autoridades.
Los 90 días que limitaron el daño
La filtración quedó acotada porque Trezor aplica una política estricta de retención: los datos de pedidos se borran o anonimizan a los 90 días de la entrega. Y —el detalle que realmente importa— negoció esa misma condición con sus socios de fulfillment, que la cumplen. Traducido: los pedidos más viejos ya no existían en los servidores de ShipMonk cuando el atacante entró. No hubo nada que llevarse de 2024, ni de 2023, ni del año pasado. El límite no fue la suerte, fue una cláusula contractual.
| Trezor (2026) | Ledger (2020) | |
|---|---|---|
| Origen | ShipMonk, proveedor logístico | Base de e-commerce y marketing propia |
| Afectados | 13.689 | ~292.000 con datos completos, y +1 millón de correos |
| Datos | Nombre, teléfono, mail, dirección | Nombre, teléfono, mail, dirección |
| Ventana temporal | 90 días | Histórico acumulado |
| Llaves privadas | Intactas | Intactas |
Ledger, o lo que pasa sin esa cláusula
La comparación es inevitable porque el molde es idéntico y el resultado no. En julio de 2020, un investigador del programa de recompensas de Ledger detectó una brecha en su base de e-commerce y marketing: más de un millón de direcciones de correo y 272.000 registros con nombre, teléfono y domicilio. En diciembre esos datos aparecieron publicados en foros abiertos.
Meses después llegó el segundo golpe, con empleados desleales de Shopify que exportaron las bases de más de 200 comercios. Ledger contabilizó 292.000 clientes alcanzados, aunque aclaró que el 93% ya figuraba en la filtración anterior: los realmente nuevos rondaron los 20.000. Las cifras no se suman, se superponen.
La secuela duró años. Los compradores de Ledger se convirtieron en objetivo permanente de campañas de phishing cada vez más sofisticadas, y varios reportaron amenazas físicas y extorsiones dirigidas a su domicilio, al punto de derivar en demandas colectivas. Todavía hoy, seis años más tarde, hay usuarios que siguen recibiendo intentos derivados de esas listas. En enero de este año Ledger sumó un capítulo: Global-e, su procesador de pagos, sufrió una brecha que expuso nombres y datos de contacto de sus compradores. La empresa nunca respondió cuántos.
Esa última diferencia también cuenta. Trezor nombró al proveedor, publicó el desglose exacto entre exposición total y parcial, enumeró los siete países y dio un criterio verificable para que cada uno sepa si está adentro. Ledger, en su incidente más reciente, no dijo el número.
Entre las medidas correctivas que Ledger anunció en 2021 figuraba borrar los datos personales de compra en plazos más cortos, que es precisamente la política que hoy contuvo el daño en Trezor. La diferencia no está en la idea sino en hasta dónde llega: sirve de poco acortar la retención propia si el proveedor que despacha las cajas guarda los mismos registros sin límite.
La sensibilidad de los datos y los tipos de ataque asociados
Una filtración de e-commerce común expone hábitos de consumo. Esta expone una inferencia. Quien compró una billetera de hardware tiene cripto, probablemente en cantidad suficiente como para molestarse en protegerla. El cruce de ese perfil con un domicilio físico es lo que transforma un archivo de datos en una lista de objetivos.
Por eso, la advertencia de Trezor apunte al phishing y no a los fondos. El ataque asociado al caso no será técnico contra el dispositivo, que sigue siendo seguro, sino social contra el dueño: correos que citan tu número de pedido real, llamados que mencionan tu dirección correcta, mensajes que aprovechan cada dato verdadero para volver creíble el pedido falso de las 24 palabras. Es el mismo guion que en 2024 ya derivó en 41 casos confirmados, cuando atacantes se hicieron pasar por respuestas automáticas del soporte de Trezor y pidieron las 24 palabras alegando que hacían falta para validar el firmware. Trezor no las pide nunca, ni por mail, ni por teléfono, ni por soporte. Ninguna firma seria lo hace.
Por Sistemas, el 13/08/2026.
Siguiente