Trezor afirma que el fallo del chip Safe 7 descubierto por Ledger no supone ningún riesgo para los fondos de los usuarios

Trezor y Tropic Square revelaron una vulnerabilidad que afecta al chip TROPIC01, identificada durante una auditoría realizada por Ledger Donjon, al tiempo que enfatizaron que la cartera Safe 7 permanece protegida y que los fondos de los usuarios no están en riesgo.

Trezor y Tropic Square han divulgado una vulnerabilidad que afecta a una de las tres capas de seguridad independientes de la cartera de hardware Trezor Safe 7, indicando que el problema no expone los activos de los usuarios a ningún riesgo.

Según un comunicado proporcionado por Trezor, la vulnerabilidad fue descubierta durante una revisión de seguridad independiente llevada a cabo por Ledger Donjon, la división de investigación del proveedor rival de carteras de hardware Ledger.

Tropic Square suministró el chip Secure Element TROPIC01 afectado a Ledger Donjon para una evaluación independiente. Trezor indicó que, incluso si el TROPIC01 se viera comprometido, el acceso a la cartera, el PIN o los fondos de un usuario seguiría siendo improbable, ya que la cartera Safe 7 está protegida por varios mecanismos de seguridad independientes, incluido un elemento seguro adicional.

La divulgación ofrece una rara perspectiva sobre cómo los fabricantes de carteras de hardware responden a las debilidades de seguridad a nivel de chip, y subraya el creciente papel que desempeñan los investigadores independientes en la evaluación y las pruebas de resistencia del hardware de custodia de criptomonedas.

Fallo de seguridad descubierto durante el proceso de pruebas independientes

Según Trezor, la vulnerabilidad fue identificada durante una evaluación de seguridad independiente iniciada por Tropic Square tras el lanzamiento de su elemento seguro TROPIC01 a principios de 2025.

En enero de 2026, Ledger Donjon notificó a Tropic Square que se había ejecutado con éxito un ataque de inyección de fallos por láser contra el chip, lo que permitió a los investigadores recuperar ciertos secretos almacenados en el dispositivo y eludir la verificación de firma del firmware en un entorno de laboratorio controlado.

Tras examinar los hallazgos de Ledger Donjon, los ingenieros de Tropic Square descubrieron otra posible vía de explotación que podría revelar un secreto adicional almacenado en el chip y vinculado a operaciones relacionadas con el PIN.

La empresa informó a sus socios, incluido Trezor, y optó por revelar públicamente la vulnerabilidad junto con los resultados de la investigación elaborados por Ledger Donjon.

Trezor indica que los usuarios no necesitan tomar ninguna acción

Trezor señaló que los usuarios no están obligados a tomar ninguna medida tras la divulgación, indicando que los fondos almacenados en el dispositivo permanecen seguros, ya que comprometer el chip TROPIC01 por sí solo es insuficiente para acceder a una cartera, un PIN o los activos del usuario.

Dado que el fallo está arraigado en el propio hardware, no puede resolverse mediante una actualización remota del firmware.

"Dado que el Trezor Safe 7 fue construido con múltiples capas de seguridad independientes, una vulnerabilidad en TROPIC01 no pone en riesgo los fondos de los usuarios", afirmó el CEO de Trezor, Matej Žák.

Trezor señaló que Ledger Donjon ha publicado anteriormente análisis de seguridad independientes de sus productos, incluido un estudio sobre el Trezor Safe 3 que mostró un ataque que involucraba la interceptación física de la cadena de suministro, el desoldado del dispositivo y la modificación del hardware antes de que la cartera llegara a los usuarios finales.

La empresa emitió una respuesta pública en su momento y desde entonces ha continuado reforzando las protecciones contra métodos de ataque similares, añadiendo que no se han identificado casos de fondos de usuarios comprometidos.

Trezor solicitó detalles sobre las auditorías de los otros dos chips utilizados en el Safe 7, junto con los componentes encontrados en versiones anteriores del dispositivo, pero no se había recibido respuesta en el momento de la publicación.