Saltar al contenido principal
HablaCripto

Seguridad y autocustodia

¿Están hackeando las hardware wallets? Incidentes y seguridad

Si has visto “han hackeado las wallets”, es razonable preguntarte si tus fondos están en peligro ahora mismo. La respuesta corta: los incidentes confirmados no describen una puerta universal que permita vaciar cualquier dispositivo desde internet. El riesgo depende del vector, del modelo afectado y, muy a menudo, de lo que se comparte o se firma.

A 14 de octubre de 2026, no hay evidencia en estos avisos de un ataque remoto masivo que vacíe hardware wallets por sí solo. Sí hay un ataque físico de laboratorio a un chip concreto, un incidente de software de DApps y una filtración logística que puede alimentar engaños dirigidos.

Última revisión:

Incidentes y avisos: qué pasó y qué no

Las fechas de verificación indican cuándo una fuente primaria describió públicamente el caso. En la filtración logística de Trezor, la fecha inicial es la primera comunicación pública, no el inicio conocido de la intrusión. El estado distingue hechos confirmados, afirmaciones y puntos disputados. Ninguna entrada atribuye el mismo fallo a todos los modelos.

Fecha y vectorAlcance y evidenciaQué hacerEstado y fuentes
Vector: supply chain

Ledger confirmó que una cuenta de publicación comprometida distribuyó versiones maliciosas de su librería JavaScript, usada por algunas DApps. Usuarios afectados llegaron a firmar transacciones engañosas. El aviso de Ledger dice expresamente que no se comprometió el hardware ni Ledger Live: fue un incidente de software de terceros y firma ciega, no un fallo del secure element.

Verificado: 		Antes de conectar una wallet a una DApp, comprueba el dominio y revisa en la pantalla del dispositivo la red, el destino y el efecto de cada operación. Rechaza lo que no puedas interpretar.Confirmado
Vector: device

Ledger Donjon y Tropic Square describieron una inyección láser que puede eludir una comprobación y extraer secretos protegidos por TROPIC01. Trezor confirma que Trezor Safe 7 incorpora ese chip. Según Trezor, incluso con posesión física, comprometer TROPIC01 por sí solo no permite acceder al PIN, los fondos ni la copia de recuperación: Safe 7 conserva otras dos capas físicas independientes. La prueba requiere desmontar y desoldar el componente, decapsulado y equipo de laboratorio especializado. Las fuentes no atribuyen este resultado a otros modelos ni marcas; tampoco reportan explotación real.

Verificado: 		No abras el dispositivo ni intentes reproducir una prueba física. Trezor indica que Safe 7 no requiere acción de usuarios por este hallazgo; para otros productos con TROPIC01, consulta el aviso de su fabricante y no extrapoles la respuesta de Trezor.Confirmado
Vector: device

Ledger Donjon publicó que, con posesión física de una tarjeta Tangem, logró cambiar su contraseña mediante inyección láser en el chip y acceder a los fondos asociados. El laboratorio describe preparación invasiva de la tarjeta y equipo especializado de fault injection y medición; estima su montaje en unos 250.000 dólares. El ataque no fue remoto ni puede realizarse de forma encubierta dejando la tarjeta intacta. Donjon dice que afecta a las tarjetas Tangem en circulación y que no hay actualización de firmware para corregirlas; la investigación citada no prueba un ataque masivo ni un robo por internet.

Verificado: 		Si la tarjeta sigue bajo tu control, la publicación de Donjon no describe un ataque remoto. Si desaparece una tarjeta con acceso a fondos, trata la pérdida como una exposición física y consulta las instrucciones oficiales para recuperar la wallet con una copia funcional y, si aún controlas los fondos, migrarlos a una wallet nueva. No abras la tarjeta ni intentes reproducir la prueba.Confirmado
Vector: firmware

Coinkite advirtió el 30 de julio que semillas generadas en COLDCARD Mk3 con firmware 4.0.1 o posterior podían dejar fondos en riesgo. Su aviso actualizado delimita Mk2/Mk3 a las versiones 4.0.1–4.1.9; también enumera otros límites por modelo y canal: Mk4/Mk5 estándar anteriores a 5.6.0, Q estándar anteriores a 1.5.0Q, Mk4/Mk5 Edge anteriores a 6.6.0X y Q Edge anteriores a 6.6.0QX. El defecto redujo la entropía de algunas semillas; Coinkite afirma que no fue un acceso remoto ni un control de los dispositivos. La excepción depende de al menos 50 tiradas de dado justas, independientes, privadas y añadidas mediante la función indicada. Una passphrase fuerte añade una barrera, pero no repara la semilla.

Verificado: 		Comprueba modelo, versión y cómo se generó la semilla en el aviso actualizado. Instala el firmware corregido antes de crear otra; si la semilla entra en el alcance y no cumple la excepción de dados, crea una semilla nueva y migra los fondos siguiendo la guía oficial. Actualizar firmware por sí solo no corrige una semilla ya creada.Confirmado
Vector: supply chain

Trezor informó de que ShipMonk, su operador logístico, expuso datos personales de pedidos; el 4 de septiembre amplió el alcance tras conocer que también había datos históricos. La fecha de la cronología es la primera comunicación pública de Trezor, no una fecha confirmada de inicio de intrusión. Trezor afirma que sus sistemas y dispositivos no fueron comprometidos; el riesgo práctico es recibir suplantaciones más convincentes.

Verificado: 		Si compraste en la tienda afectada, trata con cautela llamadas, cartas o mensajes urgentes. Verifica cualquier aviso entrando tú mismo en el dominio oficial; nunca compartas la copia de recuperación ni firmes una transacción para “proteger” fondos.Confirmado

Mitos y hechos

Mito: Una hardware wallet hace imposible perder los fondos.
Hecho: Protege claves frente a ciertos riesgos del ordenador o móvil; no revierte una frase expuesta ni una transacción maliciosa que tú autorizas.
Mito: Si un ataque usa phishing, significa que rompieron el chip seguro.
Hecho: No. Phishing engaña a una persona. Un fallo del dispositivo, del firmware o del chip es otra clase de incidente y requiere evidencia técnica propia.
Mito: Un titular sobre una marca afecta a todos sus modelos.
Hecho: No necesariamente: comprueba el componente, versión, periodo y alcance concreto que indique el aviso primario.

Qué hacer hoy

  1. 1. No compartas la frase de recuperación

    No la escribas en webs, formularios, chats, capturas, nube o aplicaciones. El soporte legítimo no necesita que se la envíes.

  2. 2. Verifica el dispositivo y el software

    Usa la tienda y las instrucciones oficiales del fabricante. Si un aviso menciona tu modelo o chip, aplica solo la mitigación indicada allí.

  3. 3. Comprueba antes de firmar

    Lee en la pantalla del dispositivo destino, red, importe y permisos. Cancela si ves datos incomprensibles o una petición inesperada.

  4. 4. Si la frase pudo quedar expuesta, migra ya

    Desde un dispositivo limpio, crea una cartera con una frase nueva y transfiere los fondos; no reutilices la frase filtrada. Si hay fondos en riesgo inmediato, pide ayuda a un profesional independiente y no compartas secretos.

  5. 5. Sospecha de urgencias tras una filtración de datos

    No uses teléfonos ni enlaces del mensaje recibido. Entra por una dirección oficial guardada y contrasta el aviso antes de actuar.

Preguntas frecuentes

¿Pueden robar mis fondos solo por tener una hardware wallet conectada?

Estos incidentes no demuestran un vaciado remoto universal. Aun así, una DApp maliciosa puede inducir una firma dañina y una frase expuesta permite recuperar las claves en otro dispositivo.

¿El caso TROPIC01 afecta a todas las wallets con secure element?

No. Trezor confirma que Safe 7 incorpora TROPIC01 y afirma que el ataque físico al chip por sí solo no da acceso al PIN, fondos ni copia de recuperación, gracias a sus otras capas. No extrapoles esa respuesta a otros productos, chips o marcas; comprueba el aviso del fabricante de tu modelo.

¿Qué hago si alguien me pide la frase de recuperación?

No la compartas ni la introduzcas en una web o aplicación. Corta el contacto, verifica cualquier aviso desde el canal oficial y, si ya la expusiste, crea una cartera nueva con una frase distinta y migra los fondos.

Fuentes primarias consultadas

Las fichas enlazadas no implican que esos modelos compartan un incidente. Consulta el aviso del fabricante para confirmar alcance, revisión y mitigación aplicable a tu dispositivo.

Solo usamos cookies de analítica si las aceptas. Nos ayudan a entender qué guías y comparativas son útiles; no las usamos para publicidad ni perfilado. Puedes cambiar tu decisión cuando quieras desde la página de cookies.