Trezor y BitBox advierten sobre falsas alertas de seguridad en monederos hardware

Si algo he aprendido sobre cripto en los últimos años, es esto: el monedero hardware generalmente no es el problema, lo es la persona frente a él. Y precisamente en eso están volviendo a apostar con fuerza los criminales. Trezor y BitBox (Shift Crypto) dan la voz de alarma, y no sin razón.
El truco es viejo y conocido, pero al parecer sumamente peligroso: recibes un correo electrónico que parece venir directamente de Trezor o BitBox. Tono urgente, clara exigencia de actuar. Supuestamente hubo un incidente de seguridad, el firmware fue comprometido, o la cuenta debe verificarse de inmediato. Si haces clic en el enlace, aterrizas en una página engañosamente real que te pide la frase de recuperación: las 12 o 24 palabras con las que puedes restaurar tus monedas. Quien las introduce, por regla general pierde su dinero de inmediato.
Lo que BitBox ha descubierto hace que el asunto sea desagradable: al parecer, varias empresas de Bitcoin han sido objetivo a través del mismo proveedor de servicios de newsletter. Es decir, probablemente no fueron hackeados los monederos en sí, sino los canales de correo electrónico de los proveedores. Trezor ha admitido entretanto que hubo un acceso no autorizado a su servicio de correo electrónico. Los atacantes podrían haber obtenido así direcciones reales de clientes, y ahora envían correos de phishing aún más convincentes.
Ambos



fabricantes lo dicen con total claridad, y no puedo más que repetirlo: ningún proveedor serio pregunta jamás por tu frase de recuperación por correo electrónico, teléfono o chat. Nunca. Estas palabras son la única llave a tus monedas. Quien las introduce digitalmente, sin importar dónde, lo arriesga todo. Si llega un mensaje así: bórralo, no hagas clic. En caso de duda, abre directamente el sitio web oficial en el navegador e infórmate allí.
Para los propietarios de monederos, esto es un nuevo toque de atención. Los dispositivos en sí son seguros, las claves privadas nunca salen del hardware. Pero el ser humano sigue siendo el punto débil. El phishing no apunta al cifrado, sino a la falta de atención. Quien guarda su frase de recuperación fuera de línea, en papel o metal, y nunca la teclea en un navegador, una app o un formulario de correo electrónico, está en gran medida protegido contra este truco.
La industria reacciona: comunicación cifrada, advertencias en las apps, autenticación de dos factores donde sea posible. Aun así, el caso actual demuestra que el phishing sigue siendo una de las mayores amenazas, mientras los criminales consigan grandes cantidades de direcciones de clientes con medios sencillos. Así que: no solo asegura el monedero, también la cuenta de correo electrónico. Y ante alertas de seguridad inesperadas, sé siempre escéptico de entrada.