Tres filtraciones en siete días exponen a quien compra bitcoin
Por Luki · Alba.City · Publicado el 15 de septiembre de 2026 · Actualizado el 15 de septiembre de 2026
Un ladrón con cabeza no fuerza la cerradura: va a la ferretería y pregunta quién compró la caja fuerte. Esta semana han entrado tres veces en la ferretería.
Swiss Bitcoin Pay, un procesador de pagos no custodio con sede en Neuchâtel, apagó sus servidores el lunes. Alguien se había metido dentro.
La empresa sostiene que los fondos están a salvo y que devolverá cualquier importe pendiente. Fuera pueden estar los correos, las direcciones bitcoin, los números de IBAN, el historial de operaciones y las contraseñas, según el aviso de la compañía recogido por Bitcoin Magazine.
Nadie ha perdido un satoshi. Lo que se ha perdido es la separación entre un nombre, un domicilio bancario y un saldo que cualquiera puede mirar desde el sofá de su casa.
Una dirección bitcoin es pública por diseño y cualquiera puede ver cuánto guarda. Lo que nunca fue público es de quién es.
Un IBAN pegado a esa dirección cierra el círculo, y un círculo cerrado se vende muy bien en el mercado que compra listas de clientes.
Siete días, tres avisos
El miércoles le tocó a Trezor, el fabricante checo de monederos físicos, cuando un intruso entró en Brevo, la plataforma que la marca usa para enviar sus boletines.
Desde ahí salieron correos a 347.000 clientes, casi tantos como habitantes tiene Bilbao. Todos iban firmados con el dominio auténtico de Trezor.
El asunto prometía una alerta crítica de seguridad. El enlace pedía instalar una aplicación y escribir allí la copia del monedero, es decir, las doce palabras.
Trezor tumbó el dominio en veinte minutos, según explicó la propia empresa, pero para entonces 2.500 personas ya habían hecho clic.
Ese mismo fabricante arrastra otro agujero anterior: su antiguo operador logístico, ShipMonk, conservaba datos de 67.000 clientes estadounidenses de pedidos hechos entre 2019 y 2021, datos que Trezor creía borrados por contrato desde hacía años.
Y la semana pasada Revolut entregó pasaportes, carnés e historiales a quien escribió desde el buzón auténtico de una agencia pública, como contamos aquí el domingo.
Tres casos en siete días. Ni una llave privada robada.
La brecha de al lado
Merece la pena ponerle nombre, porque el patrón se repite: la brecha de al lado. No revientan a la empresa en la que confías, sino a la que ella contrató sin preguntarte.
Brevo enviaba los boletines. ShipMonk metía los paquetes en cajas. SafePal perdió el mes pasado los datos de pedido de 39.798 clientes, nombres y domicilios incluidos.
Tú elegiste con cuidado dónde comprar, pero no elegiste al mensajero ni a quien le manda el correo al mensajero.
La pregunta útil no es si la empresa es seria, sino cuántas manos han tocado tu dirección postal desde el día en que pagaste.
Lo que se compra con esa dirección no es una transferencia. Es una visita.
Con un nombre, un domicilio y un saldo a la vista, el atraco deja de ser informático y pasa a ser un timbre a las nueve de la noche.
Contra eso no protege ningún aparato: protege no contarlo, no presumir y repasar de vez en cuando qué correos pides tú y cuáles te llegan solos.
Regla vieja y aburrida: ningún fabricante te pedirá jamás las doce palabras, ni por correo, ni por teléfono, ni para una actualización urgente.
Lo que todavía no sabemos
Swiss Bitcoin Pay no ha dicho cuántos clientes hay afectados ni por dónde entraron, y tampoco respondió a la petición de comentario de Bitcoin Magazine.
Las contraseñas estaban guardadas en forma de huella y no en texto legible. Es como apuntar la forma de la llave en vez de guardar la llave: sirve para comprobar, no para abrir.
Salvo que la llave sea 123456. Entonces con la huella le sobra al que mira.
Queda por saber si ShipMonk conserva algo más, porque Trezor dice que pidió por escrito y de forma repetida que se borrara todo aquello. No se borró.
Fuera de las filtraciones, el lunes fue tranquilo: bitcoin se cambia esta madrugada a 77.917 dólares, unos 67.526 euros, según CoinGecko, con una subida del 1,1 % en veinticuatro horas.
Los fondos cotizados estadounidenses se dejaron 463 millones de dólares la semana pasada, y Strategy volvió a no comprar: destinó 139,3 millones a recomprar acciones preferentes propias, según comunicó el lunes a la SEC, el supervisor bursátil estadounidense.
Mientras tanto, la billetera del móvil y el monedero de casa siguieron funcionando exactamente igual que el viernes pasado.
Tu bitcoin sigue donde lo dejaste. Tu nombre, no.
La caja fuerte aguanta. El problema es la libreta que guarda la ferretería.