Reseña de Trust Wallet

Instale Trust Wallet en un teléfono si quiere una sola aplicación para bitcoin y una larga lista de otras cadenas, y trate la extensión de navegador como un producto aparte con un riesgo aparte. Las dos tienen historiales de incidentes muy distintos, y esa diferencia es la mayor parte de esta reseña.

El 24 de diciembre de 2025 un atacante subió una versión 2.68 manipulada de la extensión de navegador de Trust Wallet directamente a la Chrome Web Store, usando una clave API de publicación filtrada para saltarse la propia revisión interna de Trust Wallet. La compilación hacía referencia a código en un dominio imitador que el atacante había registrado, y podía leer los datos de la billetera y firmar transacciones sin preguntar. La propia actualización de Trust Wallet nombra 2.520 direcciones de billetera afectadas y unos $8,5 millones en activos que puede vincular a 17 direcciones del atacante, y agrega que esas mismas direcciones vaciaron billeteras sin ninguna conexión con Trust Wallet. Solo se llegó a los usuarios de la extensión que la abrieron e iniciaron sesión entre el 24 y el 26 de diciembre de 2025; la empresa afirma con claridad que los usuarios de la aplicación móvil no se vieron afectados y que cualquiera que haya iniciado sesión después de las 11:00 UTC del 26 de diciembre estaba a salvo. La solución fue una reversión: la compilación limpia 2.67 se volvió a publicar como 2.69.

La vía de entrada no fue el código de Trust Wallet. Su investigación vincula la vulneración con alta confianza a Sha1-Hulud, el incidente de cadena de suministro de npm que afectó a toda la industria en noviembre de 2025 y que expuso secretos de GitHub de desarrolladores, incluida la clave de la Chrome Web Store. Trust Wallet eligió reembolsar voluntariamente a los usuarios afectados y dice que recibió más de 5.000 reclamos frente a 2.520 direcciones verificadas, por lo que está comprobando la titularidad caso por caso y no ha publicado una fecha de finalización. Si usted se vio afectado, el formulario de reclamo y las instrucciones de migración están enlazados desde su actualización.

Por debajo del incidente es una billetera caliente sencilla. Las claves se generan en su dispositivo, los términos de Trust Wallet la describen como software sin custodia y no como una cuenta, y la compra la manejan rampas de entrada de terceros cuya cobertura por país es la suya propia. Su función Earn, que paga rendimientos de staking, no está disponible en 33 países y territorios, entre ellos Estados Unidos, el Reino Unido, Hong Kong y la mayor parte del Espacio Económico Europeo. Esa es una restricción sobre una función, no sobre la billetera: la gente en los 33 puede tener bitcoin en Trust Wallet con normalidad.