Registro de incidentes de seguridad en billeteras cripto
Al 2026-10-25, registramos 60 incidentes de seguridad que han afectado a billeteras de autocustodia populares y a sus usuarios desde 2018, incluidos 20 hackeos, exploits o vulnerabilidades divulgadas y 5 ataques a la cadena de suministro. La mayoría de las pérdidas de los usuarios se debieron a phishing, drainers y aplicaciones falsas, no a fallas en la criptografía de las billeteras.
Datos clave
- ¿Cuáles fueron los mayores incidentes relacionados con billeteras?
- Safe{Wallet} (Bybit) (2025-02, ~$1.5B); Direcciones vanity de Profanity (Wintermute) (2022-09, ~$160M); Coldcard (Coinkite) (2026-07, ~$116M); Atomic Wallet (2023-06, >$100M)
- ¿Cuál es el incidente más reciente?
- 2026-10-09: Dispositivos Ledger vendidos a través de CryptoBilis, un revendedor del Sudeste Asiático que figuraba como autorizado por Ledger, llevaban un implante oculto que leía la frase de 24 palabras durante la configuración y la enviaba mediante un módulo celular (LTE); Ledger confirmó el implante en un comunicado fechado el 10 de octubre. CryptoBilis suspendió las ventas, Ledger pidió a los propietarios de sus dispositivos que trasladaran los fondos a un dispositivo nuevo con una semilla nueva y, el 13 de octubre, solicitó a los revendedores de siete mercados asiáticos que retiraran el inventario. MediaMarktSaturn también suspendió las ventas de Ledger. La documentación de Ledger indica que Genuine Check verifica el elemento seguro y no puede detectar modificaciones físicas.
- ¿Cuál es la principal lección?
- La mayoría de las pérdidas comienzan fuera de la criptografía de la billetera: sitios de phishing, aplicaciones falsas, aprobaciones maliciosas y cadenas de suministro comprometidas. Verifica las descargas, nunca escribas tu frase semilla en un sitio web y revisa lo que firmas.
Cronología
| Fecha | Billetera | Tipo | Pérdida reportada | Qué ocurrió | Fuente |
|---|---|---|---|---|---|
| 2026-10-09 | Ledger | cadena de suministro | ~$86M–$93M | Dispositivos Ledger vendidos a través de CryptoBilis, un revendedor del Sudeste Asiático que figuraba como autorizado por Ledger, llevaban un implante oculto que leía la frase de 24 palabras durante la configuración y la enviaba mediante un módulo celular (LTE); Ledger confirmó el implante en un comunicado fechado el 10 de octubre. CryptoBilis suspendió las ventas, Ledger pidió a los propietarios de sus dispositivos que trasladaran los fondos a un dispositivo nuevo con una semilla nueva y, el 13 de octubre, solicitó a los revendedores de siete mercados asiáticos que retiraran el inventario. MediaMarktSaturn también suspendió las ventas de Ledger. La documentación de Ledger indica que Genuine Check verifica el elemento seguro y no puede detectar modificaciones físicas. | cryptoslate.com |
| 2026-10-01 | MetaMask | otro | — | MetaMask informó de un 'incidente de seguridad en curso' que afectaba a parte de su infraestructura y, como precaución, comenzó a retirar validadores de su servicio de staking no custodial (incluidos sus validadores en Lido, cuya salida se esperaba completar el 7 de octubre). Afirmó no haber encontrado evidencia de que las billeteras o los fondos de los clientes se vieran afectados y no reveló la causa. | thehackernews.com |
| 2026-09-09 | Trezor | phishing | — | Atacantes vulneraron a Brevo, el proveedor de email marketing de Trezor, y enviaron correos de phishing desde [email protected] sobre una falsa 'vulnerabilidad del microcontrolador' STM32 que conducía a una página para robar la frase semilla. Trezor dio de baja el dominio en unos 20 minutos, suspendió su cuenta de Brevo y afirmó que ningún otro sistema de Trezor fue afectado. | bleepingcomputer.com |
| 2026-08-16 | SafePal | filtración de datos | — | Un atacante aprovechó una falla de autorización en un plug-in de seguimiento de pedidos de la tienda en línea de SafePal y obtuvo nombres, correos electrónicos, números de teléfono, direcciones de envío y detalles de pedidos realizados entre marzo de 2025 y abril de 2026; no se expusieron frases semilla ni claves. SafePal corrigió la falla, contrató a una empresa de seguridad externa y dio de baja más de 30 sitios de phishing. | bleepingcomputer.com |
| 2026-08-11 | Rabby Wallet (extensión de navegador) | vulnerabilidad | — | El investigador V12 reportó una falla de 'extracción silenciosa de firmas' en la extensión de Rabby: un sitio malicioso al que el usuario se había conectado podía obtener firmas sin solicitud de confirmación cuando el temporizador de bloqueo automático estaba configurado en 10 minutos. Rabby publicó una corrección el 11 de agosto de 2026, afirmó que la aplicación móvil no estaba afectada y no reportó explotación conocida. | techflowpost.com |
| 2026-08-10 | Trezor | filtración de datos | — | ShipMonk, el proveedor logístico de Trezor, fue vulnerado a través de una vulnerabilidad de Metabase, lo que expuso nombres, correos electrónicos, números de teléfono y direcciones de envío de pedidos realizados entre el 10 de mayo y el 8 de agosto de 2026. El 7 de septiembre, Trezor informó que también se expusieron datos de 67,000 clientes de EE. UU. que hicieron pedidos entre noviembre de 2019 y agosto de 2021, porque ShipMonk no los había eliminado. Trezor afirmó que sus propios sistemas y dispositivos no fueron comprometidos y advirtió sobre posibles campañas de phishing posteriores. | bleepingcomputer.com |
| 2026-07-30 | Coldcard (Coinkite) | vulnerabilidad | ~$116M | Un error de configuración de compilación que se remonta al firmware 4.0.1 de Coldcard (marzo de 2021) hizo que las semillas de los Mk2/Mk3 afectados y, en menor medida, del firmware de Mk4, Mk5 y Q, provinieran de un RNG de software débil en lugar de la fuente de entropía de hardware, por lo que podían obtenerse por fuerza bruta; los robos comenzaron el 30 de julio de 2026. Coinkite publicó firmware corregido el 31 de julio (Mk3 4.2.0, Mk4/Mk5 5.6.0, Q 1.5.0Q) y pidió a los propietarios de semillas expuestas que crearan una semilla nueva y trasladaran sus fondos; la actualización solo protege las semillas nuevas. | trmlabs.com |
| 2026-07-24 | Sparrow Wallet (suplantada) | aplicación falsa | ~$1.8M | Tres usuarios demandaron a Apple ante un tribunal federal en California, alegando que una aplicación falsa de 'Sparrow Wallet' para iOS (la verdadera Sparrow no tiene versión para iOS) robó sus frases semilla y sus bitcoins a mediados de 2025. Apple declinó comentar sobre la demanda, pero afirmó que actualmente no había imitaciones de Sparrow Wallet en la App Store. | decrypt.co |
| 2026-06-03 | Trezor (Safe 7, chip TROPIC01) | vulnerabilidad | — | Donjon, el equipo de Ledger, encontró una falla de inyección de fallos por láser en el chip seguro TROPIC01 utilizado en el Trezor Safe 7; requiere posesión física, decapsulado y equipo de laboratorio, y no puede corregirse mediante firmware en los chips existentes. Trezor afirmó que las claves de la billetera y el respaldo no se almacenan en ese chip, por lo que no pueden revelarse los fondos, el PIN ni el respaldo, y que los usuarios no necesitan tomar ninguna medida. | trezor.io |
| 2026-04-20 | Varias (MetaMask, Ledger, Trust Wallet, Coinbase y otras suplantadas) | aplicación falsa | — | Kaspersky reportó 26 aplicaciones de billetera falsas en la App Store de Apple, parte de una campaña activa desde al menos el otoño de 2025. Inducían a los usuarios a instalar versiones troyanizadas de billeteras mediante un perfil de desarrollador o pedían la frase de recuperación en pantallas falsas. | kaspersky.com |
| 2026-04-07 | Ledger (suplantada) | aplicación falsa | ~$9.5M | Una aplicación falsa de Ledger Live en la Mac App Store de Apple recopilaba frases de recuperación; ZachXBT le atribuyó robos por unos $9.5M entre el 7 y el 13 de abril de 2026, con tres víctimas que perdieron más de $1M cada una. Apple retiró la aplicación sin explicar cómo había superado la revisión. | theblock.co |
| 2026-02-14 | Trezor, Ledger | phishing | — | Cartas físicas con membrete falso de Trezor y Ledger afirmaban que se requería una 'Authentication Check' o 'Transaction Check' obligatoria y usaban códigos QR para dirigir a los destinatarios a sitios de phishing que recopilaban frases de recuperación. Ambos fabricantes afirman que nunca piden la frase de recuperación. | bleepingcomputer.com |
| 2026-01-05 | Ledger | filtración de datos | — | Global-e, el procesador de pagos de algunos pedidos de Ledger.com, fue vulnerado y se expusieron nombres y datos de contacto de clientes. Ledger afirmó que su propio hardware, software y plataforma no fueron vulnerados y que ningún fondo estuvo en riesgo. | bravenewcoin.com |
| 2025-12-24 | Trust Wallet (extensión de navegador) | cadena de suministro | ~$8.5M | Una versión maliciosa v2.68 de la extensión para Chrome, publicada fuera del proceso de lanzamiento propio de Trust Wallet, extrajo las frases de recuperación de los usuarios que iniciaron sesión entre el 24 y el 26 de diciembre. Trust Wallet afirma tener un alto grado de certeza de que el ataque se originó en el gusano de npm Sha1-Hulud de noviembre de 2025, que expuso secretos de GitHub de desarrolladores y una clave de API de Chrome Web Store. Publicó la v2.69, revocó sus API de lanzamiento, dio de baja el dominio de exfiltración y abrió un proceso de reclamaciones para reembolsar a los usuarios afectados. | trustwallet.com |
| 2025-12-20 | General (envenenamiento de direcciones) | phishing | ~$50M | Un trader copió una dirección similar que un script de envenenamiento de direcciones había colocado en su historial de transacciones y envió casi $50M en USDT a ella tras una pequeña transferencia de prueba. El atacante lavó los fondos a través de DAI, ETH y Tornado Cash; la víctima ofreció una recompensa de $1M. | theblock.co |
| 2025-12-16 | Exodus | política | — | La OFAC del Departamento del Tesoro de EE. UU. anunció un acuerdo de $3,103,360 con Exodus Movement por 254 aparentes violaciones de las sanciones contra Irán (12 consideradas graves). Entre octubre de 2017 y enero de 2019, el personal de soporte de Exodus ayudó a usuarios en Irán, en algunos casos ayudándolos a acceder a exchanges asociados y, en 12 ocasiones, sugiriendo VPN. No fue un hackeo; no se afectaron fondos de usuarios. | ofac.treasury.gov |
| 2025-09-08 | General (cadena de suministro de npm) | cadena de suministro | ~$600 | Tras engañar con phishing a un mantenedor, los atacantes publicaron versiones maliciosas de chalk, debug y unos 18 paquetes de npm más. El código interceptaba window.ethereum y las llamadas de red en los navegadores para sustituir las direcciones de destino de criptomonedas. Las versiones maliciosas se detectaron rápidamente y los atacantes obtuvieron muy poco. | thehackernews.com |
| 2025-06-23 | Trezor | phishing | — | Los atacantes enviaron solicitudes a través del formulario de soporte de Trezor a nombre de las víctimas para que los propios correos de respuesta automática de Trezor incluyeran contenido de phishing. Trezor afirmó que no se accedió a sus sistemas ni datos, logró que se diera de baja el sitio de phishing y dijo que trabajaba para evitar nuevos abusos. | theblock.co |
| 2025-05-07 | General (Inferno Drainer) | drainer | >$9M | Check Point informó que Inferno Drainer volvía a estar en uso, atraía a las víctimas mediante páginas falsas de verificación de Collab.Land en Discord y había incorporado contratos de un solo uso y configuración cifrada en cadena para evitar la detección. | decrypt.co |
| 2025-04 | Ledger | phishing | — | Usuarios de Ledger recibieron cartas físicas que exigían una 'validación obligatoria de la billetera' mediante código QR e ingreso de la frase de recuperación. Ledger confirmó que las cartas eran una estafa y afirmó que nunca pide las 24 palabras. | theblock.co |
| 2025-03-05 | Trezor | vulnerabilidad | — | Donjon, el equipo de Ledger, demostró que el voltage glitching en un microcontrolador desoldado podía eludir algunas protecciones de la cadena de suministro del antiguo Trezor Safe 3. Trezor divulgó el problema, lo calificó de difícil de explotar, destacó las passphrases y las verificaciones de firmware, y señaló que el Safe 5 usa un chip resistente a glitches. | theblock.co |
| 2025-02-21 | Safe{Wallet} (Bybit) | cadena de suministro | ~$1.5B | Atacantes atribuidos a Lazarus comprometieron el equipo de un desarrollador de Safe{Wallet} y modificaron el JavaScript del front-end en el bucket de AWS S3 de Safe, lo que hizo que los firmantes de Bybit aprobaran una transacción maliciosa disfrazada en su cold wallet. Safe reconstruyó su infraestructura, rotó todas las credenciales y restableció el servicio, y afirmó que sus contratos inteligentes no eran vulnerables. | slowmist.medium.com |
| 2025-02-06 | General (SparkCat) | aplicación falsa | — | Kaspersky encontró el SDK SparkCat en aplicaciones de la App Store y Google Play; usaba OCR en el dispositivo para buscar capturas de pantalla de frases de recuperación en las galerías de fotos y subirlas. Ambas tiendas retiraron las aplicaciones. | thehackernews.com |
| 2025-01-21 | Ledger | otro | — | Balland y su pareja fueron secuestrados en Francia para exigir un rescate en criptomonedas y liberados por la policía en pocos días, después de que Balland sufriera una lesión en un dedo; diez sospechosos fueron detenidos. Es un caso destacado en el aumento de los 'wrench attacks' (ataques físicos) contra poseedores de criptomonedas. | thelocal.fr |
| 2025-01 | General (envenenamiento de direcciones) | phishing | >$83.8M | Un estudio de USENIX Security 2025 midió unos 270 millones de intentos de envenenamiento de direcciones en Ethereum y BSC durante aproximadamente dos años, con al menos $83.8M perdidos. | arxiv.org |
| 2024-12-30 | Tangem | vulnerabilidad | — | Un error de registro en la aplicación móvil escribía claves privadas en los logs cuando un usuario creaba una billetera con frase semilla, y esos logs podían llegar al soporte de Tangem. Tangem lo corrigió el 30 de diciembre de 2024, eliminó los logs de soporte, contactó a los usuarios afectados y afirmó que no se perdieron fondos, aunque fue criticada por la escasa información pública. | cointelegraph.com |
| 2024-09 | WalletConnect (suplantada) | aplicación falsa | ~$70,000 | Check Point encontró una aplicación falsa de 'WalletConnect' en Google Play que vació billeteras durante unos cinco meses, el primer drainer de criptomonedas exclusivamente móvil que había detectado. La aplicación fue retirada. | thehackernews.com |
| 2024-05-17 | General (Pink Drainer) | drainer | ~$85M | Pink Drainer, una operación de drainer como servicio conocida por secuestrar cuentas de Discord y X, anunció su cierre tras unos $85M en robos (ScamSniffer). | theblock.co |
| 2024-05-03 | General (envenenamiento de direcciones) | phishing | ~$68M | Una ballena envió $68M en WBTC a una dirección similar envenenada. Tras negociaciones en cadena, el atacante devolvió casi la totalidad de los fondos en aproximadamente una semana. | unchainedcrypto.com |
| 2024-02-12 | Safe (utilizada por Angel Drainer) | drainer | ~$403,000 | Angel Drainer desplegó un contrato malicioso de bóveda de Safe y consiguió que las víctimas firmaran aprobaciones Permit2, mientras la insignia 'verified' de Etherscan daba una falsa sensación de seguridad. Blockaid afirmó que Safe en sí no fue atacada. | cointelegraph.com |
| 2024-02-06 | Exodus (suplantada) | aplicación falsa | ~$490K | Un snap falso de la billetera 'Exodus' en la Snap Store de Ubuntu robaba frases de recuperación; Canonical lo puso en cuarentena tras un reporte del 12 de febrero. Un snap falso de Ledger Live en septiembre de 2023 le había costado a un usuario unos $10K. | blog.popey.com |
| 2024-01-17 | Trezor | filtración de datos | — | Un atacante accedió a un portal de tickets de soporte de un tercero y expuso nombres y correos electrónicos de personas que habían contactado al soporte de Trezor desde diciembre de 2021; al menos 41 recibieron phishing dirigido a su frase semilla. Trezor envió correos a los usuarios afectados y afirmó que no se comprometieron activos. | forklog.com |
| 2023-12-14 | Ledger (Connect Kit) | cadena de suministro | ~$600,000 | La cuenta de npm de un exempleado víctima de phishing se usó para publicar una versión maliciosa de Ledger Connect Kit que inyectaba un drainer en las dApps que usaban la biblioteca. Ledger publicó una corrección, se comprometió a compensar íntegramente a las víctimas y anunció que eliminaría gradualmente la firma a ciegas en favor de Clear Signing. | cointelegraph.com |
| 2023-12-12 | OKX Wallet / OKX DEX | hackeo | ~$2.7M | Una presunta filtración de una clave de administrador de proxy permitió a los atacantes actualizar un contrato obsoleto de OKX DEX y vaciar tokens que los usuarios habían aprobado. OKX revocó los permisos y se comprometió a reembolsar a los usuarios afectados. | theblock.co |
| 2023-11-14 | General (BitcoinJS 'Randstorm') | vulnerabilidad | — | Unciphered divulgó 'Randstorm', una aleatoriedad débil en billeteras de navegador basadas en BitcoinJS generadas entre 2011 y 2015 (a partir de JSBN SecureRandom y Math.random del navegador) que podría permitir obtener las claves por fuerza bruta. Se recomendó a los propietarios trasladar sus fondos. | forklog.com |
| 2023-11 | General (Inferno Drainer) | drainer | >$80M | Inferno Drainer, activo desde noviembre de 2022 y que suplantaba a más de 100 marcas cripto en más de 16,000 dominios de phishing, anunció su cierre en noviembre de 2023 (Group-IB). | group-ib.com |
| 2023-10-19 | Ledger Live (suplantada) | aplicación falsa | ~$768,000 | Una aplicación falsa de Ledger Live en Microsoft Store, disponible desde el 19 de octubre de 2023, robaba frases de recuperación, según alertó ZachXBT. Microsoft la retiró. | bitdefender.com |
| 2023-09-05 | General (filtración de LastPass) | filtración de datos | >$35M | Investigadores vincularon una serie de robos de criptomonedas con frases semilla guardadas en bóvedas de LastPass robadas en la filtración de 2022 y descifradas sin conexión. Afirmaron que el vínculo era probable, pero no concluyente. | krebsonsecurity.com |
| 2023-08-08 | Libbitcoin Explorer (bx) — 'Milk Sad' | vulnerabilidad | >$900,000 | El comando `bx seed` usaba un PRNG inicializado con la hora y con solo 32 bits de entropía (CVE-2023-39910), por lo que las semillas podían obtenerse por fuerza bruta. Libbitcoin negó que se tratara de un error y citó las advertencias de su documentación. | unchainedcrypto.com |
| 2023-06-03 | Atomic Wallet | hackeo | >$100M | Se vaciaron fondos de miles de usuarios de Atomic Wallet en un ataque que Elliptic atribuyó al Grupo Lazarus de Corea del Norte. Atomic nunca confirmó la causa raíz y enumeró cuatro posibles vectores; trabajó con exchanges, Chainalysis y Crystal para congelar fondos y no anunció reembolsos. | decrypt.co |
| 2023-05 | Ledger (Recover) | política | — | Ledger anunció Ledger Recover (16 de mayo de 2023), un servicio opcional de pago que cifra la frase semilla y la divide entre tres custodios. Los usuarios objetaron que el firmware podía extraer claves, y el CEO Pascal Gauthier se disculpó por la comunicación, prometió acelerar la publicación del código abierto y aplazó el lanzamiento. | forklog.com |
| 2023-04-22 | Trust Wallet (extensión de navegador) | vulnerabilidad | ~$170,000 | Una falla de entropía de WebAssembly en Trust Wallet Core hizo que algunas billeteras generadas por la extensión pudieran adivinarse, y se produjeron dos explotaciones. Trust Wallet corrigió el problema, aseguró la mayoría de los fondos en riesgo y estableció reembolsos. | theblock.co |
| 2023-02 | OneKey | vulnerabilidad | — | Unciphered publicó un video en el que extraía secretos de un OneKey Mini mediante una falla de firmware en aproximadamente un segundo. OneKey afirmó que había corregido la falla. | unciphered.com |
| 2022-12 | BitKeep (ahora Bitget Wallet) | aplicación falsa | ~$8M | APK troyanizados de BitKeep para Android, distribuidos a través de sitios de phishing, robaban claves privadas; la versión de Google Play no se vio afectada. | halborn.com |
| 2022-10-18 | BitKeep Swap (ahora Bitget Wallet) | hackeo | ~$1M | La función Swap de BitKeep fue explotada en BNB Chain y Polygon. BitKeep suspendió Swap y prometió una compensación del 100 % a través de un portal de reclamaciones. | web3.bitget.com |
| 2022-10-11 | Rabby Wallet | hackeo | — | Menos de un mes después de su lanzamiento, un exploit en el contrato router de Rabby Swap vació tokens que los usuarios habían aprobado. Rabby pidió a los usuarios de Swap que revocaran todas las aprobaciones. | theblock.co |
| 2022-09-20 | Direcciones vanity de Profanity (Wintermute) | vulnerabilidad | ~$160M | El creador de mercado Wintermute perdió $160M, algo ampliamente atribuido a que su hot wallet de administración era una dirección vanity generada con Profanity cuya clave podía obtenerse por fuerza bruta. 1inch había divulgado la falla de Profanity una semana antes. | theblock.co |
| 2022-08-02 | Slope Wallet | vulnerabilidad | ~$4M–$5M | La aplicación móvil de Slope enviaba frases semilla a un servidor de registro de Sentry, donde se almacenaban sin cifrar (Otter Sec). Slope pidió a los usuarios que trasladaran sus fondos; Phantom afirmó que sus sistemas no fueron comprometidos y que los usuarios de Phantom afectados habían importado semillas de Slope. | theblock.co |
| 2022-06-16 | MetaMask, Phantom (y Brave) | vulnerabilidad | — | La divulgación 'Demonic' de Halborn mostró que los archivos de 'restaurar sesión' del navegador podían almacenar frases semilla sin cifrar en el disco. MetaMask y Phantom publicaron correcciones. | theblock.co |
| 2022-04-17 | MetaMask (iOS) | phishing | ~$650,000 | Una estafa telefónica tomó el control del Apple ID de un usuario y utilizó el respaldo de iCloud de su bóveda de MetaMask para vaciar la billetera. MetaMask alertó a los usuarios y publicó los pasos para desactivar el respaldo de iCloud para la aplicación. | decrypt.co |
| 2022-04-03 | Trezor | phishing | — | Una filtración en Mailchimp con ayuda de una persona interna hizo que clientes de Trezor recibieran correos de phishing que promovían una aplicación falsa de 'Trezor Suite' diseñada para robar frases semilla. Trezor dio de baja el dominio y pausó sus boletines. | siliconrepublic.com |
| 2021-06-16 | Ledger | phishing | — | Con datos de la filtración de 2020, delincuentes enviaron por correo dispositivos Ledger Nano X falsos y manipulados, presentados como 'reemplazos', que indicaban a las víctimas ejecutar software e ingresar su frase de recuperación. Ledger reiteró que nunca pide la frase. | bleepingcomputer.com |
| 2021-01-22 | Trezor (suplantada) | aplicación falsa | >$1M | Una aplicación falsa de 'Trezor' en la App Store de Apple, disponible del 22 de enero al 3 de febrero de 2021, recopiló frases semilla; una imitación similar apareció en Google Play. | malwarebytes.com |
| 2020-12-20 | Ledger | filtración de datos | — | La base de datos de comercio electrónico de Ledger robada en junio de 2020 se publicó en RaidForums, lo que alimentó años de campañas de phishing, extorsión y dispositivos falsos. Ledger había desactivado la clave de API utilizada indebidamente y había notificado a la CNIL de Francia en julio de 2020. | decrypt.co |
| 2020-03-24 | General (aprobaciones ilimitadas de tokens) | vulnerabilidad | — | ZenGo demostró que la mayoría de las billeteras para dApps otorgaban allowances ERC-20 ilimitadas que una dApp maliciosa podía vaciar posteriormente. Trust Wallet afirmó que haría una actualización; MetaMask y Brave ya ofrecían controles avanzados de allowances. | cointelegraph.com |
| 2020-01-31 | Trezor | vulnerabilidad | — | Kraken Security Labs extrajo semillas cifradas de dispositivos Trezor en menos de 15 minutos de acceso físico mediante voltage glitching; la falla del microcontrolador no puede corregirse. Trezor afirmó que una passphrase BIP39 neutraliza el ataque. | theblock.co |
| 2019-04 | Electrum | otro | — | Una botnet propagada mediante Smoke Loader/RIG lanzó ataques DDoS contra servidores legítimos de Electrum para empujar a los clientes antiguos hacia servidores maliciosos de phishing. Electrum aprovechó una falla de DoS en los clientes anteriores a la 3.3 para forzar actualizaciones y publicó recomendaciones para los operadores de servidores. | malwarebytes.com |
| 2019-02-22 | Coinomi | vulnerabilidad | — | Un usuario demostró que la billetera de escritorio de Coinomi enviaba el texto del campo de restauración, incluidas las frases semilla, a la API de corrección ortográfica de Google. Coinomi lo atribuyó a un plug-in mal configurado y lo corrigió el 22 de febrero de 2019. | theblock.co |
| 2018-12-27 | Trezor, Ledger | vulnerabilidad | — | El equipo de wallet.fail mostró en el 35C3 ataques contra el Trezor One (extracción de claves sin passphrase) y los Ledger Nano S/Blue. Trezor prometió una corrección de firmware y criticó la falta de divulgación coordinada. | crowdfundinsider.com |
| 2018-12-21 | Electrum | phishing | >$4M | Servidores maliciosos de Electrum aprovecharon la capacidad del cliente para mostrar mensajes de error en texto enriquecido y presentar falsos avisos de 'actualización' con enlaces a billeteras troyanizadas que robaban semillas o redirigían pagos. Electrum corrigió el problema en las versiones 3.3.3/3.3.4 y luego forzó actualizaciones. | malwarebytes.com |
Cómo protegerte
Descarga billeteras solo desde el sitio oficial o la ficha de la tienda, escribiendo tú mismo la dirección; nunca escribas una frase semilla en un sitio web ni la compartas con el "soporte"; lee cada transacción y aprobación antes de firmar; revisa cada carácter de una dirección que pegues, no solo los primeros y últimos, porque el envenenamiento de direcciones copia esos; y guarda las cantidades grandes en una billetera de hardware. Consulta seguridad de la frase semilla y estafas con billeteras cripto.
Metodología y citación
Las entradas provienen de análisis post mortem de los proveedores, investigadores de seguridad y cobertura periodística confiable; cada fila indica su fuente. Las cifras de pérdidas son las reportadas en su momento. Periodistas e investigadores pueden citar esta página; por favor, enlázala. Los datos se pueden descargar gratis en nuestra página de prensa. Las correcciones son bienvenidas.