Trezor Safe 5 con implante espía: la marca confirma tres casos de CryptoBilis y lanza el firmware 2.13.1

Trezor confirmó que tres billeteras Trezor Safe 5 vendidas por el revendedor CryptoBilis tienen un implante espía capaz de copiar la frase de recuperación. Las tres se compraron entre el 20 de agosto y el 23 de septiembre de 2026. La empresa lanzó el firmware 2.13.1, que bloquea estos implantes, pero advierte que no protege una frase que ya haya sido copiada. Si compraste a CryptoBilis, Trezor te pide mover tus fondos a una billetera nueva con frase nueva.

Qué confirmó Trezor

Trezor publicó el 12 de noviembre los resultados de su investigación en su blog oficial. Según la empresa, tres Trezor Safe 5 compradas a CryptoBilis contienen el implante, incluida la que le reportaron en octubre, el caso que contamos en nuestra nota sobre el primer reporte de implante en una Trezor Safe 5.

Trezor examinó ese primer equipo en su laboratorio. Los otros dos los identificó por fotos que le enviaron sus dueños. Las compras se hicieron directamente a CryptoBilis o en sus tiendas de Tokopedia y Shopee.

Tras el aviso de octubre, 48 clientes de CryptoBilis se comunicaron con Trezor, que revisa sus equipos en el laboratorio o con fotos del interior. Según la empresa, ninguno ha reportado pérdida de fondos. Trezor dice que no encontró implantes en equipos de otros revendedores ni en otros modelos.

Cómo funciona el implante

Según Trezor, se trata de una placa de circuito adicional colocada entre la placa principal de la Safe 5 y su pantalla. No modifica el firmware ni el chip de seguridad (Secure Element). Lo que hace es copiar todo lo que aparece en la pantalla, incluidas las palabras de recuperación y la passphrase, si la usas.

Después cifra esos datos y los envía por la red móvil a servidores controlados por los atacantes. Si la conexión falla, lo vuelve a intentar. Es decir, el implante no necesita tu computador para sacar la información: tiene su propia vía de salida.

Qué cambia con el firmware 2.13.1 y los revendedores

El firmware 2.13.1 salió el 11 de noviembre. Según Trezor, incluye una protección que impide que los implantes encontrados hasta ahora capturen datos en los equipos que lo tienen instalado. La empresa aclara el límite: el firmware no protege una frase de recuperación que se haya capturado antes de actualizar. Por eso insiste: «aun así deberías mover tus fondos a una billetera nueva con una frase nueva».

Trezor también informó que redujo cerca de 80% su red de revendedores. Aclara que los socios excluidos «eran confiables y no representaban una amenaza inmediata». Los que siguen deben cumplir reglas más estrictas sobre cómo obtienen y almacenan los equipos y sobre quién tiene acceso a ellos. La empresa dice que trabaja con SEAL 911, el servicio de respuesta de emergencias de la Security Alliance, para proteger a los clientes y sus fondos.

Qué hacer si compraste a un revendedor

Trezor ofrece un reemplazo a quien haya comprado una Trezor a CryptoBilis desde marzo de 2026. Según el caso y las reglas de envío, puede ser otro modelo con devolución de la diferencia, un envío a otro país o un reembolso completo. Estos son los pasos, según las indicaciones de la empresa:

1. Revisa dónde compraste. Si fue a CryptoBilis, directamente o en Tokopedia o Shopee, estás en el grupo afectado. Si no sabes de dónde viene tu equipo, escribe al soporte oficial.
2. Mueve tus fondos a una billetera nueva con frase nueva. Actualizar al 2.13.1 no basta si tu frase ya pudo ser copiada. Crea la frase nueva en un equipo que no venga de ese revendedor.
3. No uses el equipo sospechoso. Trezor pide: «Guarda el dispositivo y no lo configures ni lo uses hasta que te digamos qué hacer a continuación».
4. Habla con Trezor solo por trezor.io/support. Pide el reemplazo por ese canal y desconfía de cualquiera que te escriba primero ofreciendo ayuda.
5. Nunca compartas tu frase de recuperación. «Trezor nunca te la pedirá», recuerda la empresa.

Si compraste a otro revendedor, Trezor dice que no encontró manipulación en esos equipos. Aun así, el caso deja una regla útil para cualquier marca: compra en la tienda oficial del fabricante o en un distribuidor que el propio fabricante liste. En nuestra guía sobre qué billetera física comprar en 2026 tienes criterios para elegir.

Qué falta saber

Trezor no dice cuántos equipos vendió CryptoBilis en total ni cuántos de los 48 ya terminó de revisar. Tampoco detalla en su publicación el calendario del recorte de revendedores: según CriptoNoticias, se aplicará desde enero de 2027. Falta saber quién instaló los implantes y si habrá acciones legales contra el revendedor. Por ahora, la empresa pide a los compradores afectados que guarden el equipo y esperen sus instrucciones.