Una filtración deja al descubierto la dirección de 13.689 clientes de Trezor
Por Luki · Alba.City · Publicado el 14 de agosto de 2026 · Actualizado el 14 de agosto de 2026
Compras un monedero físico para que nadie sepa cuánto bitcoin tienes. Y te llega a casa dentro de una caja.
Esa caja lleva pegada una etiqueta con tu nombre, tu teléfono y tu portal.
La etiqueta es lo que se ha filtrado. El fabricante checo Trezor avisó el jueves de que ShipMonk, el almacén que le prepara y manda los paquetes, sufrió un acceso no autorizado a sus sistemas.
La ficha completa quedó al aire para 11.742 clientes: nombre, correo, teléfono y dirección de entrega. Otros 1.947 perdieron nombre, ciudad y correo.
Son 13.689 personas en Estados Unidos, Reino Unido, Suecia, Colombia, Brasil, Italia y Portugal. Compraron entre el 10 de mayo y el 8 de agosto.
Trece mil no es una cifra de titular. Es el censo de un pueblo pequeño al que alguien ha repartido la lista de quién guarda oro debajo del colchón.
El aparato está bien; el sobre no
Los sistemas de Trezor no fueron tocados. Tu monedero sigue siendo seguro y tus llaves nunca salieron de él.
La empresa lo repite tres veces en su aviso y es verdad. También es lo de menos.
Un fallo de custodia se arregla moviendo los fondos a llaves nuevas. Un fallo de dirección postal no se arregla, porque no puedes mudarte.
Su competidor Ledger lo aprendió en 2020. Un ataque contra su base de datos comercial expuso más de un millón de correos y los datos de contacto de casi 10.000 clientes, recuerda Mathew Di Salvo en Bitcoin Magazine.
Seis años después, aquellos clientes siguen recibiendo llamadas y cartas en papel de estafadores que imitan a la marca, según The Block. Una filtración de datos no caduca.
Y hay un escalón peor que el correo falso. Los extorsionadores usan la dirección para pedir entre 700 y 1.000 dólares, y llegan a mandar aparatos falsificados al domicilio de la víctima, detalla Olivier Acuña en CoinDesk.
La firma de seguridad Certik cuenta 124 millones de dólares robados con violencia o coacción a tenedores de bitcoin solo en el primer semestre de este año.
No todos esos casos nacen de una filtración. Pero casi todos empiezan igual: alguien sabe que tienes y sabe dónde vives.
Si te llegó ese correo
El aviso legítimo sale de security@trezor.io y no pide absolutamente nada. Si un mensaje te mete prisa, es falso.
Nadie de Trezor, de tu banco ni de un exchange va a pedirte las doce palabras. Ni por teléfono, ni por correo, ni en una web que se parezca mucho a la buena.
Si aparece en tu buzón un aparato que no has pedido, no lo enchufes. Devuélvelo o tíralo.
Y si lo que te quita el sueño es que llamen a tu puerta, la respuesta no es comprar un monedero más caro. Es que en ese monedero no esté todo.
Reparte: una cantidad pequeña para el día a día y el grueso en unas llaves que no vivan en tu casa. Da igual la marca de tu billetera, porque el paquete siempre lleva etiqueta.
Lo que aún no se sabe
La investigación sigue abierta y nadie ha explicado por dónde entraron; ShipMonk avisó a Trezor el lunes 10 de agosto.
Trezor dice que no le consta que los datos se hayan publicado, compartido ni puesto a la venta, ni ningún intento de estafa ligado al incidente. Eso es cierto hoy y no garantiza nada dentro de un año.
Las fechas tampoco cuadran del todo. La propia empresa admite que los 1.947 afectados con exposición parcial pueden incluir pedidos más antiguos, y que sigue verificándolo con ShipMonk.
Lo que sí funcionó fue una regla aburrida. Trezor obliga a sus socios a borrar los datos de cada pedido a los 90 días, y por eso hay 13.689 afectados en lugar de trescientos mil.
Quien compró por Amazon queda fuera: esos envíos los prepara otro socio. La empresa promete además un envío anónimo con taquilla, caja neutra y remitente genérico, en Europa a partir de septiembre.
Llega tarde para trece mil personas.
Fuera de esto, la jornada fue plana. Bitcoin cerró el jueves en 63.505 dólares, unos 55.046 euros, con una subida del 0,15% en veinticuatro horas.
Mandar una transacción seguía costando el mínimo que admite la red. Y en Washington, la Comisión de Bolsa y Valores aplazó sin fecha nueva la reunión donde iba a proponer su primer gran reglamento para el sector.
La caja va a seguir llegando a tu casa. Lo que no debería llegar es tu nombre escrito por fuera.