Trezor avisa de un posible implante espía en una Safe 5 de CryptoBilis: qué hacer

Trezor, el fabricante de billeteras de hardware para criptomonedas, publicó el 30 de octubre de 2026 un aviso sobre un posible implante en una Trezor Safe 5: un cliente de Indonesia le reportó una placa de circuito extra adentro de un equipo comprado a CryptoBilis, que hasta octubre era revendedor oficial de la marca en el Sudeste Asiático. Trezor todavía no recibió el equipo para examinarlo, pero dice que trata el reporte como creíble y prefirió avisar antes de tener la confirmación del laboratorio.

A quién le importa: a quien compró cualquier modelo de Trezor a CryptoBilis desde marzo de 2026, en cualquier tienda que vendiera equipos provistos por CryptoBilis, incluida la propia de CryptoBilis en el marketplace Tokopedia. El reporte es de una Safe 5, pero Trezor aclara que su recomendación vale para todos los modelos. Al 30 de octubre, la empresa dice que no tiene reportes de ningún otro revendedor y que ningún comprador de CryptoBilis le informó pérdidas de fondos.

Qué hacer hoy: si no sabés de dónde salió tu Trezor, fijate el nombre del vendedor en el comprobante de compra o consultá al soporte de Trezor. Si fue CryptoBilis desde marzo de 2026, seguí los pasos de abajo. Si fue otro vendedor, Trezor dice que no tiene reportes de otros revendedores y que va a actualizar el aviso si eso cambia; igual vale la advertencia sobre las estafas que viene al final.

Si compraste tu Trezor a CryptoBilis desde marzo de 2026

Lo que pide Trezor en su aviso:

• Si ya lo usás: pasá tus fondos lo antes posible a una billetera nueva, creada con una frase de recuperación nueva. Según Trezor, cargar en otro dispositivo la frase que generó ese equipo no resuelve el problema (nuestra lectura: si el equipo estaba manipulado, esa frase ya puede estar en otras manos).
• Si no tenés otra billetera de hardware segura: Trezor sugiere pasar los fondos, por ahora, a una billetera de software o a un exchange que conozcas. Antes de mandar nada, revisá con cuidado la dirección de destino completa.
• Si todavía no lo configuraste: no lo configures, y nunca escribas en él la frase de recuperación de una billetera que ya tenés.
• Guardá el equipo y escribile al soporte: según Trezor, quien le compró a CryptoBilis desde marzo de 2026 puede recibir un equipo nuevo o un cupón que cubre el costo de uno; hay que guardar el equipo de CryptoBilis y pedirlo al soporte.

Lo que no hay que hacer: pesarlo o abrirlo para revisarlo. Trezor dice que pesarlo no es una prueba confiable y que no hay una forma segura de inspeccionar el equipo por tu cuenta. El cliente que lo reportó notó una diferencia de peso, pero la empresa aclara que una diferencia chica puede tener otras causas.

Qué dice el reporte, y qué no está confirmado

Según el aviso, el 28 de octubre el equipo de seguridad de Trezor recibió, por su programa de divulgación responsable, el reporte de una Trezor Safe 5 comprada a CryptoBilis en agosto de 2026 a través de Tokopedia. El reporte describe una placa extra entre la placa principal y la pantalla, con un módulo celular y una antena. Siempre según el reporte, que Trezor aclara que no verificó por su cuenta, esa placa lee lo que muestra la pantalla, incluida la frase de recuperación, y lo manda por la red de telefonía móvil cada vez que el equipo se enchufa. Si se confirma, sería una billetera de hardware con conexión celular propia: exactamente la función que nadie quiere encontrar en la caja.

Trezor tiene las fotos y la descripción del cliente, lo entrevistó por videollamada y está gestionando que le manden el equipo a su laboratorio. Lo que se sabe hasta ahora:

• No hay fondos robados reportados. El cliente ya había sacado sus fondos del equipo antes de encontrar la placa. Trezor aclara que, como sus billeteras son de autocustodia, no puede ver el saldo de nadie.
• No se sabe quién está detrás. Trezor dice que el implante parece funcionar de forma parecida a los vistos en equipos de Ledger, pero que no va a compararlos mientras sigan las investigaciones.
• Es un solo equipo reportado. Trezor habla de evidencia de que un único dispositivo pudo haber sido afectado.

El antecedente: Ledger y la misma tienda

CryptoBilis no aparece por primera vez. Según Trezor, el 9 de octubre Ledger empezó a investigar pérdidas de fondos entre clientes que le habían comprado billeteras a CryptoBilis, también revendedor autorizado suyo en el Sudeste Asiático, y más tarde confirmó que algunos equipos habían sido manipulados físicamente en un ataque a la cadena de suministro. Ese mismo día Trezor sacó a CryptoBilis de su red de revendedores y, según cuenta, después limitó sus vendedores autorizados como precaución.

Aparte, la Policía de Singapur publicó el 28 de octubre un aviso sobre billeteras Ledger compradas en algunas tiendas de ese país que, según las investigaciones preliminares, traían componentes de hardware maliciosos, capaces de capturar las frases de recuperación o las claves privadas. Desde el 10 de septiembre hubo al menos dos casos reportados, con pérdidas por unos 3,5 millones (el aviso usa el signo $ sin aclarar la moneda). Ese aviso no menciona a CryptoBilis ni a Trezor.

La estafa que viene detrás

Trezor advierte que los estafadores probablemente usen este caso para mandar correos, cartas y llamadas falsas a quien tiene criptomonedas. La regla no cambia: nunca le pases tu frase de recuperación a nadie. Según Trezor, su soporte nunca te la va a pedir. Un mensaje que diga venir de Trezor y te pida la frase, con la excusa que sea (verificar el equipo, mandarte el reemplazo), es el estafador.

Para quien compra desde América Latina, el aviso no informa casos en la región. Lo que deja el episodio es una recomendación nuestra: CryptoBilis era revendedor autorizado, así que ni eso alcanza. Si podés, comprá tu billetera de hardware directo en la tienda del fabricante y, si no, chequeá que el revendedor siga hoy en su lista oficial.

Fuentes

• Trezor, «Implant reported in a Trezor sold by CryptoBilis», 30 de octubre de 2026 (en inglés). El reporte, lo que no está verificado, quién está alcanzado, los pasos, el reemplazo y el antecedente de Ledger.
• Policía de Singapur, «Police Advisory On Tampered Cryptocurrency Hardware Wallets», 28 de octubre de 2026 (en inglés). Los casos de billeteras Ledger en Singapur.
• Bill Toulas, «Trezor warns of suspected crypto-theft implant in hardware wallet», BleepingComputer, 30 de octubre de 2026 (en inglés).
• Ravie Lakshmanan, «Trezor Warns of Suspected Hardware Implant in One of Its Wallets Sold by CryptoBilis», The Hacker News, 30 de octubre de 2026 (en inglés).