El 9 de septiembre, 347.000 suscriptores del boletín de Trezor —fabricante de carteras hardware para criptomonedas— recibieron un correo con remitente help@trezor.io. El asunto: una "alerta de seguridad crítica". El contenido: una supuesta vulnerabilidad en el microcontrolador STM32 de las carteras Trezor que permitiría a un atacante forzar por fuerza bruta la semilla de recuperación del dispositivo. La solución que ofrecía el correo: descargar una aplicación e introducir en ella el backup de la wallet — es decir, la frase semilla que da acceso a todos los fondos.

No había ninguna vulnerabilidad. El correo era el ataque.

Imagen del artículo

🔍 ¿Dudas de un mensaje recibido?

Analiza remitentes, enlaces o archivos en tiempo real con nuestro scanner.

Analizar ahora

Qué pasó realmente y por qué el remitente era el correcto

Trezor no fue quien lo envió, aunque la dirección era real. El origen fue Brevo, la plataforma externa que Trezor usa para gestionar sus campañas de newsletter a suscriptores que se apuntaron voluntariamente. Brevo sufrió una brecha que afectó a 120 cuentas de cliente, entre ellas la de Trezor. Con acceso a esa cuenta, los atacantes no necesitaron falsificar nada: usaron el sistema legítimo de envío de Trezor para mandar el correo a su propia base de datos de 347.000 direcciones. Trezor detectó el dominio malicioso y lo dio de baja en 20 minutos — pero en ese margen, 2.500 personas ya habían hecho clic en el enlace.

Es el tercer incidente de este tipo que sufre Trezor en pocos meses: antes hubo una brecha en su portal de soporte (66.000 clientes afectados) y otra en ShipMonk, su proveedor logístico (81.000 clientes), según recogió BleepingComputer. El patrón se repite porque el eslabón débil casi nunca es la empresa que conoces, sino algún proveedor suyo con acceso a tus datos de contacto.

Por qué el remitente correcto ya no es garantía de nada

Cuando un atacante compromete la herramienta de email marketing de una empresa, hereda algo que no podría falsificar por sí mismo — el historial de remitente legítimo, la lista real de personas que sí son clientes, y la plantilla visual exacta de la marca. Todos los filtros mentales que usamos habitualmente para detectar un correo falso ("¿me llega de la dirección correcta?", "¿yo soy cliente de verdad de esto?", "¿el diseño es el de siempre?") dejan de servir, porque todos esos filtros se cumplen. El correo es indistinguible del legítimo porque, en el sentido estricto, lo es: sale del sistema real, a la lista real, con el remitente real. Lo único falso es el contenido.

Este mecanismo no es exclusivo de las wallets cripto. En España se ha visto exactamente el mismo patrón con SMS y correos que suplantan a Correos, la DGT o entidades bancarias cuando algún proveedor de mensajería o CRM de esas entidades ha sido comprometido: el mensaje llega por un canal que en el pasado sí fue legítimo, y eso basta para bajar la guardia.

Si te llega un correo de una empresa de la que sí eres cliente, pidiendo algo urgente

No hagas esto:

Haz esto:

Un remitente correcto certifica de dónde sale el correo, no lo que dice. Cuando el canal es legítimo pero el contenido no lo es, la única defensa real deja de ser reconocer quién lo envía — y pasa a ser desconfiar de cualquier enlace, venga de quien venga, cuando lo que pide es una credencial o una instalación urgente.