La seguretat en l'ecosistema de les criptomonedes no depèn només de la robustesa dels algorismes criptogràfics, sinó també de la fragilitat de la cadena de subministrament. El cas recent de Trezor, fabricant de moneders freds, serveix com a recordatori contundent que un producte tecnològicament segur pot veure comprometit l'entorn de privadesa dels seus usuaris a causa de tercers proveïdors de serveis.

L'estendiment real de la brecha de ShipMonk

El que va començar com una notificació limitada s'ha transformat en una filtració molt més profunda. Inicialment, Trezor havia informat que 13.689 clients havien vist les seves dades exposades. No obstant això, noves revelacions han confirmat que el nombre de clients afectats als Estats Units ascendeix a 67.000 persones addicionals. Aquest volum de dades inclou noms, adreces electròniques, números de telèfon, adreces d'enviament i números de comanda realitzades entre novembre de 2019 i agost de 2021.

La gravetat d'aquesta situació rau en la natura de la informació filtrada. No es tracta d'una pèrdua de contrasenyes, sinó d'una exposició de la identitat física i digital d'individus que, per definició, busquen el màxim nivell de privadesa i seguretat per als seus actius digitals. La companyia ha precisat que la brecha no afecta la seguretat dels moneders físics ni les claus privades, però el dany a la privadesa és irreversible.

Una falla crítica en la infraestructura de dades

L'origen tècnic de l'incident no es troba en els sistemes de Trezor, sinó en el seu soci logístic, ShipMonk. L'atac es va produir a través de l'explotació d'una vulnerabilitat de dia zero, identificada com a CVE-2026-72898. Es tracta d'una falla crítica de SQL injection a Metabase, una plataforma d'anàlisi de dades, amb una puntuació CVSS de 10.0, el màxim nivell de severitat.

Segons informes de la firma de seguretat Holborn, el grup d'extorsió ShinyHunters seria el responsable de l'intrusió. Aquest tipus d'atacs demostra com una sola vulnerabilitat en una eina de tercers pot obrir la porta a dades sensibles de milers d'usuaris, saltant-se totes les mesures de seguretat implementades pel producte final.

El conflició sobre la retenció de dades

Un dels punts més polèmics d'aquest cas és la gestió de la retenció de la informació. Trezor manté una política de 90 dies per a l'eliminació o anonimització de les dades dels clients després d'una compra, un termini calculat per cobrir el cicle de vida d'una comanda, incloent-hi devolucions i recanvis. La companyia ha expressat la seva profunda decepció amb ShipMonk, ja que havien rebut assegurances per escrit que les dades havien estat eliminades segons el contracte.

La realitat ha demostrat que la informació de comandes d'anys anteriors encara residia als servidors del proveïdor logístic. Aquesta discrepància entre les polítiques de privadesa declarades i la pràctica real de l'emmagatzematge de dades és un risc operatiu que moltes empreses tech ignoren fins que es produeix una incidència d'aquest tipus.

Riscos de phishing físic i enginyeria social

Quan un atacant sap exactament qui ha comprat un moneder de hardware, l'estratègia de phishing canvia radicalment. Ja no es tracta d'enviar milions de correus genèrics, sinó d'executar atacs dirigits. El coneixement de l'adreça física permet el que alguns experts anomenen phishing en el món real (IRL phishing), on els delinqüents poden enviar cartes físiques o suplantar serveis de correu per enganyar l'usuari.

L'exposició d'adreces físiques augmenta els riscos: les cartes postals, la suplantació de mensajers i el targeting físic es tornen possibilitats plausibles per als atacants.

L'objectiu final d'aquests atacants no és el dispositiu en si, sinó la frase de recuperació (seed phrase). Mitjançant correus electrònics o trucades que semblen venir de suport tècnic, bancs o intercanvis, els delinqüents intenten convèncer l'usuari que introdueixi la seva clau en un lloc web fals. Com indica The Hacker News, la combinació de la certesa de posseir un moneder fred amb un senyal d'urgència és una tàctica molt eficaç per robar fons.

Anàlisi de l'impacte per segments d'usuaris

L'impacte de la filtració ha variat segons el moment de la compra i la regió. Mentre que la majoria dels afectats es troben als Estats Units, la brecha inicial també va tocar usuaris del Regne Unit, Suècia, Colòmbia, Brasil, Itàlia i Portugal. La distribució de la filtració es pot resumir així:

Per a 11.742 clients, l'exposició ha estat total, incloent nom, correu, telèfon i adreça completa. En canvi, un grup de 1.947 clients ha patit una exposició parcial, on només s'han filtrat el nom, la ciutat i el correu electrònic. Aquest darrer grup podria incloure comandes més antigues que, teòricament, haurien estat eliminades dels sistemes de BreachHistory.

Implicacions per a les empreses a Catalunya i Espanya

Aquest incident té lectures molt clares per a l'ecosistema empresarial català, especialment per a les startups de fintech i ciberseguretat basades a Barcelona. En primer lloc, subratlla la necessitat d'una auditoria rigorosa dels proveïdors de serveis (Third-Party Risk Management). No basta amb tenir un contracte que obligui a eliminar les dades; és imprescindible disposar de mecanismes de verificació tècnica.

Dins del marc del AI Act i el RGPD, les empreses espanyoles s'enfronten a sancions severes si no poden garantir que els seus socis logístics compleixin les normatives de privadesa. La responsabilitat del controlador de dades no s'extinge quan la informació passa a un operador logístic. Per a les empreses tecnològiques de Catalunya, que busquen posicionar-se com a hubs d'innovació segura, la transparència en la gestió de crisis i la minimització de dades (data minimization) s'esten convertint en avantatges competitius.

El mercat espanyol, amb un creixement constant en l'adopció de criptoactius, ha de prendre consciència que la seguretat no acaba en el producte, sinó que engloba tota la cadena de valor. La prevenció contra l'enginyeria social ha de ser part de l'educació del consumidor final per evitar que la vulnerabilitat d'un proveïdor logístic es converteixi en una pèrdua financera per a l'usuari.

Preguntes freqüents

Fonts: Thehackernews, Yahoo, Breachhistory ·