Foundation advierte sobre correos de phishing en torno a la cartera Passport
Los correos llegaron a través de dominios de Foundation y, en algunos casos, contenían direcciones de clientes. La empresa afirma que la cartera Passport no ha sido comprometida.
Puntos clave
- Foundation advierte sobre correos de phishing que se hacían pasar por una retirada urgente de Passport y que se enviaron a través de sus propios dominios.
- Según los usuarios, los mensajes contenían nombres, números de teléfono y direcciones particulares; Foundation afirma que el Bitcoin en la cartera Passport está a salvo.
- Foundation informa del uso indebido de claves API de Cloudflare comprometidas y ha revocado las claves y desconectado el dominio fraudulento.
Foundation advierte de que los correos de phishing que se hacían pasar por una retirada urgente de Passport se enviaron a través de los propios dominios de la empresa. Según los usuarios, esos mensajes también incluían sus direcciones particulares, lo que plantea la pregunta de cómo obtuvieron los atacantes esos datos. Foundation afirma que el Bitcoin en la cartera Passport está a salvo y que el hardware en sí no ha sido comprometido.
Falsa retirada a través de un dominio propio
Los correos llegaron el domingo con un mensaje de advertencia urgente. En él se indicaba que un proveedor había modificado un módulo de pantalla y que los atacantes estaban desviando fondos de los dispositivos afectados. Se aconsejaba a los destinatarios no esperar a un reemplazo, sino seguir un enlace a foundation.support, un sitio web falso que imitaba la aplicación companion wallet de Foundation.
En esa página aparecía una cartera vacía con un botón de depósito, presumiblemente para tentar a las víctimas a enviar Bitcoin. El ataque de phishing se apoyaba en un riesgo real, ya que en 2026 aparecieron con más frecuencia advertencias sobre carteras hardware manipuladas. Eso podía hacer que una alerta sobre un problema en la cadena de suministro pareciera creíble.
Preguntas sobre datos de clientes filtrados
Foundation informó el lunes en X de que los atacantes habían abusado de una o varias claves API de Cloudflare comprometidas. La empresa afirma haber revocado todas las claves y haber desconectado el dominio fraudulento. Aun así, sigue sin estar claro cómo supieron los atacantes quién había comprado una Passport.
Varios usuarios escribieron que los correos contenían su nombre, número de teléfono y dirección particular. Un destinatario dijo que el mensaje incluso procedía de jobs@foundation.xyz, el dominio real de Foundation, y que incluía su nombre completo y la dirección de un pedido de cartera de hace dos años. Otro usuario informó de que circulaban dos versiones del correo, con datos completos del pedido para los clientes y solo nombres para antiguos solicitantes.
Por qué esto es relevante
Para los usuarios europeos de cripto, este caso muestra que el phishing no solo gira en torno a sitios web falsos, sino también a datos de clientes robados y direcciones de remitente creíbles. En 2026, los fabricantes de carteras hardware se vieron afectados con más frecuencia por filtraciones de datos en socios de envío, en las que salieron a la luz nombres, direcciones y datos de contacto. Eso hace que este tipo de ataques sea más difícil de detectar, incluso para usuarios que guardan su Bitcoin fuera de línea.
Anteriormente, una filtración de datos de envío también provocó riesgos adicionales de phishing para los usuarios de carteras hardware. Foundation aún no ha dicho si la propia base de datos de clientes fue hackeada. La empresa sí afirma que publicará un informe completo en cuanto sea posible.
