La filtración de Trezor fue cinco veces mayor: aparecieron datos de 67.000 clientes que ya no deberían existir

La filtración de datos de clientes de Trezor resultó ser mucho mayor de lo que se pensaba en agosto. A los iniciales 13 689 afectados se sumaron alrededor de 67 000 clientes de EE. UU., y en poder de los atacantes quedaron datos de pedidos que el contratista logístico debía haber eliminado años atrás.

El nuevo grupo incluye compradores estadounidenses que realizaron pedidos desde noviembre de 2019 hasta agosto de 2021. Se filtraron nombres, direcciones de correo electrónico, números de teléfono, direcciones de envío y números de pedido. En total, el número conocido de afectados ahora supera las 80 000 personas, es decir, creció casi seis veces respecto de la estimación inicial.

Especialmente problemático para Trezor fue el destino de los registros antiguos. La empresa exige a los socios logísticos que eliminen o anonimicen los datos de los pedidos pasados 90 días después de la entrega. Según el fabricante de monederos, durante la colaboración ShipMonk proporcionó en varias ocasiones confirmaciones por escrito de que se cumplía el requisito. Sin embargo, los datos de clientes que habían pedido dispositivos hace cinco, seis y casi siete años continuaban almacenados en los sistemas del contratista.

Inicialmente Trezor explicó el alcance relativamente reducido del incidente por el corto periodo de conservación. En agosto la empresa habló de 11 742 clientes con datos totalmente expuestos y otros 1 947 usuarios cuya filtración incluyó nombre, ciudad y correo electrónico. Más tarde se descubrió que la regla de 90 días no protegió los pedidos antiguos.

El incidente está relacionado con la vulnerabilidad de Metabase, mediante la cual los atacantes obtuvieron acceso a los sistemas de ShipMonk. La crítica CVE-2026-72898 permitía realizar de forma remota una inyección SQL a través del mecanismo de restablecimiento de contraseña y obtener acceso administrativo a la instancia de la plataforma analítica. En el momento de los primeros ataques, los desarrolladores de Metabase aún no conocían el problema.

Los atacantes no vulneraron los sistemas de Trezor ni los propios monederos físicos. Las frases de recuperación y las claves no formaban parte del conjunto de datos expuestos. Sin embargo, la combinación del nombre, el teléfono, el correo electrónico y la dirección física del propietario de criptomonedas genera un riesgo independiente. Los estafadores pueden preparar mensajes, llamadas y correspondencia postal convincentes haciéndose pasar por Trezor, por el servicio de entrega, por un banco o por una plataforma de criptomonedas.

Tras los nuevos datos de ShipMonk, la empresa amplió la lista de afectados y notificó a los clientes perjudicados. Trezor advirtió por separado sobre posibles riesgos para la seguridad física, ya que la filtración vincula a una persona concreta y a su dirección doméstica con la compra de un monedero físico para criptomonedas.

El fabricante aconseja no introducir la frase de recuperación del monedero en sitios web ni comunicársela a terceros, independientemente de lo convincente que parezca la solicitud. El caso con ShipMonk también puso de manifiesto otro problema. El plazo de conservación establecido formalmente sirve de poco si el contratista sigue manteniendo registros antiguos después de haber confirmado por escrito su eliminación.