{"id":173797,"date":"2026-09-23T20:00:00","date_gmt":"2026-09-23T20:00:00","guid":{"rendered":"https:\/\/crypto-economy.com\/es\/?p=173797"},"modified":"2026-09-24T01:30:00","modified_gmt":"2026-09-24T01:30:00","slug":"ledger-trezor-y-coldcard-analisis-critico-de-tres-modelos-de-seguridad-en-2026","status":"publish","type":"post","link":"https:\/\/crypto-economy.com\/es\/ledger-trezor-y-coldcard-analisis-critico-de-tres-modelos-de-seguridad-en-2026\/","title":{"rendered":"Ledger, Trezor y Coldcard: an\u00e1lisis cr\u00edtico de tres modelos de seguridad en 2026"},"content":{"rendered":"

La industria de <\/span>custodia de criptoactivos<\/span><\/strong> operaba bajo una premisa extendida: la presencia de un <\/span>Secure Element certificado<\/span><\/strong> bastaba para calificar un dispositivo como resistente.<\/span><\/p>\n

<\/p>\n

El incidente de <\/span>Coldcard<\/span><\/strong><\/a>, cuyo firmware reemplaz\u00f3 el generador de n\u00fameros aleatorios por hardware con una implementaci\u00f3n de software que redujo la <\/span>entrop\u00eda a 40 bits<\/span><\/strong>, desmiente la premisa. Mi posici\u00f3n es que la evaluaci\u00f3n de un <\/span>hardware wallet<\/span><\/strong> debe iniciar por la trazabilidad del origen de la aleatoriedad, no por la certificaci\u00f3n del chip que resguarda la clave.<\/span><\/p>\n

Sostengo que el sector requiere un marco de an\u00e1lisis orientado a <\/span>vectores de ataque verificables<\/span><\/strong>: extracci\u00f3n f\u00edsica, inyecci\u00f3n de fallos, compromiso de <\/span>cadena de suministro<\/span><\/strong> y generaci\u00f3n de secretos. Los tres fabricantes responden de manera distinta a cada vector, y las diferencias importan m\u00e1s que las listas de funciones.<\/span><\/p>\n

Ledger: Secure Element certificado y firmware propietario<\/span><\/h2>\n

El modelo de <\/span>Ledger<\/span><\/strong> se basa en un <\/span>Secure Element (SE)<\/span><\/strong><\/a> con certificaci\u00f3n Common Criteria. Los modelos Nano S Plus, Stax, Flex y Nano Gen5 incorporan chips con certificaci\u00f3n <\/span>EAL6+<\/span><\/strong>, mientras que generaciones anteriores se manten\u00edan en <\/span>EAL5+<\/span><\/strong>. La funci\u00f3n del SE es doble: almacenar material criptogr\u00e1fico y resistir ataques de canal lateral y manipulaci\u00f3n f\u00edsica.<\/span><\/p>\n

En <\/span>generaci\u00f3n de semillas<\/span><\/strong>, Ledger emplea un <\/span>TRNG integrado en el Secure Element<\/span><\/strong><\/a> que produce <\/span>256 bits de entrop\u00eda<\/span><\/strong> sin mecanismo de respaldo en software. La decisi\u00f3n de dise\u00f1o descrita explica por qu\u00e9 la compa\u00f1\u00eda pudo declarar que sus dispositivos no resultaron afectados por el fallo de Coldcard. Desde la ingenier\u00eda, eliminar el fallback de software reduce la superficie de ataque en el punto m\u00e1s sensible del ciclo de vida de una clave.<\/span><\/p>\n

La contrapartida es el <\/span>firmware propietario<\/span><\/strong><\/a>. Ledger somete el c\u00f3digo a auditor\u00edas del equipo Donjon y a revisiones de firmas como EDSI y Synacktiv, pero la comunidad no puede verificar el binario completo. Para una parte del sector, la opacidad es un costo aceptable frente a la resistencia f\u00edsica del SE. Para otra parte, constituye un <\/span>riesgo de confianza<\/span><\/strong> no mitigable por certificaci\u00f3n.<\/span><\/p>\n

El historial de filtraciones de datos de clientes en Ledger es un recordatorio de que <\/span>seguridad operativa<\/span><\/strong> y <\/span>seguridad del dispositivo<\/span><\/strong> son dominios separados. Un SE robusto no protege una base de datos de pedidos mal asegurada.<\/span><\/p>\n

Trezor: transparencia open source y arquitectura multichip<\/span><\/h2>\n

El modelo de <\/span>Trezor<\/span><\/strong> evolucion\u00f3 desde una arquitectura de microcontrolador de prop\u00f3sito general hacia un esquema con <\/span>Secure Element<\/span><\/strong>. <\/span><\/p>\n

La serie <\/span>Trezor Safe<\/span><\/strong><\/a> incorpora chips dedicados, y el <\/span>Safe 7<\/span><\/strong> emplea una <\/span>arquitectura de doble chip<\/span><\/strong>: el <\/span>TROPIC01<\/span><\/strong>, presentado como el primer SE auditable de forma independiente, junto con un <\/span>OPTIGA Trust M<\/span><\/strong> de Infineon con certificaci\u00f3n <\/span>EAL6+<\/span><\/strong>.<\/span><\/p>\n

El argumento central de Trezor es la <\/span>ausencia de un punto \u00fanico de fallo<\/span><\/strong> para el almacenamiento de secretos. La distribuci\u00f3n de responsabilidades entre dos chips de proveedores distintos dificulta un ataque que dependa de una vulnerabilidad aislada. <\/span><\/p>\n

La <\/span>generaci\u00f3n de entrop\u00eda<\/span><\/strong> se apoya en el TRNG del dispositivo, y la firma mantiene <\/span>firmware open source<\/span><\/strong> verificable en toda la pila, desde el boardloader hasta la aplicaci\u00f3n.<\/span><\/p>\n

El incidente de 2026 con el <\/span>TROPIC01<\/span><\/strong> merece un an\u00e1lisis separado. El equipo Donjon de Ledger document\u00f3 un ataque de <\/span>inyecci\u00f3n de fallos por l\u00e1ser<\/span><\/strong> sobre el chip. Trezor divulg\u00f3 el hallazgo y sostuvo que el ataque exige posesi\u00f3n f\u00edsica, equipamiento de laboratorio y no compromete fondos, porque las claves no residen exclusivamente en el chip afectado. <\/span><\/p>\n

Considero que la divulgaci\u00f3n responsable y la arquitectura de doble chip limitaron el impacto, aunque el episodio demuestra que ning\u00fan SE es inmune a <\/span>ataques f\u00edsicos dirigidos<\/span><\/strong>.<\/span><\/p>\n

Para el usuario que prioriza <\/span>verificabilidad<\/span><\/strong>, Trezor ofrece una propuesta coherente. Para el usuario que prioriza resistencia f\u00edsica certificada, la comparaci\u00f3n con Ledger depende del modelo y del adversario considerado.<\/span><\/p>\n

Coldcard: air-gapped, Bitcoin-only y doble Secure Element<\/span><\/h2>\n

Coldcard<\/span><\/strong> se dise\u00f1\u00f3 para un perfil de usuario avanzado en <\/span>Bitcoin<\/span><\/strong><\/a>. La caracter\u00edstica definitoria es el funcionamiento <\/span>air-gapped<\/span><\/strong>: firma de transacciones mediante <\/span>MicroSD<\/span><\/strong> o <\/span>c\u00f3digo QR<\/span><\/strong>, sin conexi\u00f3n a un equipo con acceso a red. Los modelos Mk4 y Q incorporan <\/span>doble Secure Element<\/span><\/strong> con chips de dos fabricantes, <\/span>Microchip ATECC608<\/span><\/strong><\/a> y <\/span>Maxim DS28C36B<\/span><\/strong><\/a>, bajo la l\u00f3gica de que un atacante debe comprometer ambos para extraer el secreto maestro.<\/span><\/p>\n

El firmware es <\/span>open source<\/span><\/strong>, verificable, y el soporte se limita a <\/span>Bitcoin<\/span><\/strong>, con funciones como <\/span>multifirma<\/span><\/strong> y <\/span>PSBT<\/span><\/strong>. La ausencia de altcoins reduce la superficie de c\u00f3digo y simplifica la auditor\u00eda.<\/span><\/p>\n

El <\/span>fallo de entrop\u00eda de 2026<\/span><\/strong> altera la evaluaci\u00f3n. Un error de firmware, activo entre marzo de 2021 y mediados de 2026, sustituy\u00f3 el <\/span>RNG por hardware<\/span><\/strong> con un sistema de software que degrad\u00f3 la <\/span>entrop\u00eda a 40 bits<\/span><\/strong>. La consecuencia fue la sustracci\u00f3n de m\u00e1s de <\/span>38 millones de d\u00f3lares<\/span><\/strong> en Bitcoin y un da\u00f1o reputacional severo para un dispositivo comercializado bajo criterios de paranoia operativa.<\/span><\/p>\n

Mi lectura es que el caso Coldcard demuestra una jerarqu\u00eda de riesgos que el sector tiende a invertir. La <\/span>cadena de suministro<\/span><\/strong> y el <\/span>almacenamiento<\/span><\/strong> reciben atenci\u00f3n prioritaria, mientras la <\/span>generaci\u00f3n de semillas<\/span><\/strong> se trata como un componente resuelto. Un dispositivo con doble SE puede perder toda su ventaja si el proceso previo a la escritura de la clave produce material predecible.<\/span><\/p>\n

Comparaci\u00f3n de modelos y modelos de amenaza<\/span><\/h2>\n

La comparaci\u00f3n \u00fatil no es de marcas sino de <\/span>modelos de amenaza<\/span><\/strong>. Para un adversario remoto sin acceso f\u00edsico, los tres dispositivos ofrecen garant\u00edas equivalentes en <\/span>firma de transacciones<\/span><\/strong> y <\/span>aislamiento de claves<\/span><\/strong>. Para un adversario con acceso f\u00edsico y equipamiento de laboratorio, Ledger y Trezor Safe 7 presentan <\/span>certificaciones EAL6+<\/span><\/strong> y <\/span>arquitecturas multichip<\/span><\/strong>, mientras Coldcard a\u00f1ade el modo <\/span>air-gapped<\/span><\/strong> como capa adicional.<\/span><\/p>\n

\"Scale<\/p>\n

Para un adversario que explota <\/span>debilidades de generaci\u00f3n de aleatoriedad<\/span><\/strong>, la diferencia es decisiva. Ledger mantiene un <\/span>TRNG en SE<\/span><\/strong> sin fallback. Trezor distribuye la responsabilidad entre chips. Coldcard sufri\u00f3 una degradaci\u00f3n documentada durante cinco a\u00f1os.<\/span><\/p>\n

Considero que el sector subestima el <\/span>riesgo de firmware<\/span><\/strong><\/a> frente al <\/span>riesgo de hardware<\/span><\/strong>. Las certificaciones eval\u00faan el silicio, no la l\u00f3gica de arranque ni la implementaci\u00f3n del RNG. Un programa de auditor\u00eda continua sobre el ciclo de vida completo, con verificaci\u00f3n reproducible de binarios y pruebas de entrop\u00eda en producci\u00f3n, resulta m\u00e1s relevante que una certificaci\u00f3n est\u00e1tica.<\/span><\/p>\n","protected":false},"excerpt":{"rendered":"

La industria de custodia de criptoactivos operaba bajo una premisa extendida: la presencia de un Secure Element certificado bastaba para calificar un dispositivo como resistente.<\/p>\n","protected":false},"author":53,"featured_media":70501,"comment_status":"closed","ping_status":"closed","sticky":false,"template":"","format":"standard","meta":{"rank_math_title":"","rank_math_description":"","footnotes":""},"categories":[925],"tags":[9368,210,181],"class_list":["post-173797","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-opinion","tag-coldcard","tag-ledger","tag-trezor"],"_links":{"self":[{"href":"https:\/\/crypto-economy.com\/es\/wp-json\/wp\/v2\/posts\/173797","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/crypto-economy.com\/es\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/crypto-economy.com\/es\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/crypto-economy.com\/es\/wp-json\/wp\/v2\/users\/53"}],"replies":[{"embeddable":true,"href":"https:\/\/crypto-economy.com\/es\/wp-json\/wp\/v2\/comments?post=173797"}],"version-history":[{"count":2,"href":"https:\/\/crypto-economy.com\/es\/wp-json\/wp\/v2\/posts\/173797\/revisions"}],"predecessor-version":[{"id":173945,"href":"https:\/\/crypto-economy.com\/es\/wp-json\/wp\/v2\/posts\/173797\/revisions\/173945"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/crypto-economy.com\/es\/wp-json\/wp\/v2\/media\/70501"}],"wp:attachment":[{"href":"https:\/\/crypto-economy.com\/es\/wp-json\/wp\/v2\/media?parent=173797"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/crypto-economy.com\/es\/wp-json\/wp\/v2\/categories?post=173797"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/crypto-economy.com\/es\/wp-json\/wp\/v2\/tags?post=173797"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}