Trezor avisa de un posible implante espía en una Safe 5 comprada al revendedor CryptoBilis y ofrece sustituir los dispositivos

Trezor publicó el 30 de octubre de 2026 un aviso sobre un posible implante de espionaje en una hardware wallet Safe 5 comprada al revendedor CryptoBilis. La empresa recibió la denuncia el 28 de octubre y todavía no ha podido analizar el dispositivo, así que el hallazgo no está confirmado. Aun así, ha decidido avisar ya y recomienda a quienes compraron a ese revendedor desde marzo de 2026 que muevan sus fondos y pidan un reemplazo.

Qué ha pasado

Según la propia Trezor, su equipo de seguridad recibió el 28 de octubre, a través de su programa de divulgación responsable, el informe de un cliente de Indonesia. El cliente había comprado una Safe 5 en agosto de 2026 a CryptoBilis, un revendedor del sudeste asiático, mediante la plataforma Tokopedia. Describe una placa adicional dentro del aparato, entre la placa principal y la pantalla, con un módulo móvil y una antena. Según el informe, esa pieza leería lo que aparece en pantalla, incluida la copia de seguridad de la cartera, y lo enviaría por la red móvil cuando el dispositivo estuviera conectado.

Trezor subraya que no ha verificado nada de esto. Dispone del informe, de fotografías y de una entrevista por videollamada con el cliente, y está organizando el envío del aparato a su laboratorio. Considera la denuncia creíble y por eso avisa antes de la confirmación. Su director comercial, Danny Sanders, lo resumió ante The Block diciendo que prefieren avisar ahora a esperar y descubrir que alguien perdió sus fondos entretanto.

La empresa añade que ha encontrado «pruebas de que un solo dispositivo Trezor podría haber sido afectado por un ataque similar», sin poder asegurar quién está detrás. Según The Block, ya había examinado cuatro dispositivos de clientes comprados a ese revendedor sin hallar signos de manipulación. Ese resultado no desmiente la denuncia, porque el aparato denunciado todavía no se ha revisado. Trezor indica que nadie ha comunicado pérdidas de fondos; el cliente que dio la alarma movió sus fondos antes de descubrir el implante.

El contexto es el caso de Ledger. Según Trezor, el 9 de octubre Ledger empezó a investigar pérdidas de clientes que habían comprado a CryptoBilis, y ese mismo día Trezor retiró a ese revendedor de su red autorizada. The Block recoge que Ledger confirmó manipulación física en unidades de ese canal y que analistas en cadena estimaron pérdidas superiores a 86 millones de dólares, una cifra que Ledger no ha confirmado. Trezor dice que el implante denunciado parece funcionar de forma parecida, pero no hará comparaciones hasta terminar las investigaciones.

El alcance que fija Trezor es claro: quien compró un Trezor a CryptoBilis desde marzo de 2026, también en tiendas que vendieran producto suministrado por él, como su tienda en Tokopedia. La denuncia concreta se refiere a una Safe 5, pero la recomendación vale para cualquier modelo comprado por ese canal. Trezor afirma no haber recibido informes de otros revendedores ni de otras regiones.

Qué significa para ti si vives en España

La fuente no menciona España ni Europa: el canal señalado es un revendedor del sudeste asiático. Si compraste tu Trezor en la tienda oficial de la marca o en un distribuidor autorizado, el aviso no te afecta según lo que ha publicado la empresa. Eso sí, merece la pena comprobar de dónde vino tu dispositivo, porque algunos vendedores de marketplaces internacionales llegan a compradores en cualquier país. Si no recuerdas el vendedor, Trezor sugiere mirar el nombre en el justificante de compra o escribir a su soporte.

Si tu dispositivo sí procede de CryptoBilis, Trezor recomienda, si ya lo usas, mover los fondos cuanto antes a una cartera creada con una frase nueva. Advierte de que restaurar la copia de seguridad del aparato dudoso en otro dispositivo no resuelve el problema, porque esa frase podría estar comprometida. Si todavía no lo has configurado, no lo hagas y no introduzcas nunca en él una copia de seguridad que ya tengas. Tampoco conviene abrirlo ni pesarlo en casa: según Trezor, no hay forma fiable de inspeccionarlo así. La empresa ofrece un dispositivo nuevo o un cupón para quienes compraron desde marzo de 2026; para recibirlo hay que conservar el aparato y contactar con su soporte.

Dos precauciones más que recoge Trezor: comprobar la dirección de destino completa antes de enviar fondos y desconfiar de correos, cartas o llamadas que aprovechen el caso, porque su soporte nunca pide la frase de recuperación.

Para entenderlo

• Seed phrase: explica qué es la frase de recuperación y por qué quien la conoce puede mover todos tus fondos.
• Seguridad en criptomonedas: repasa dónde comprar, cómo guardar la frase y qué errores evitar con una wallet.
• Hardware wallet: define este tipo de dispositivo y aclara por qué comprarlo en un canal oficial es parte de su seguridad.