Foundation emitió una advertencia a los usuarios de las billeteras hardware Passport sobre correos de phishing que suplantan a la empresa y afirman falsamente una vulnerabilidad crítica en la cadena de suministro que permitiría a atacantes robar criptomonedas de los dispositivos afectados.

Los mensajes fraudulentos, que circularon el 25 de octubre de 2026, instan a los destinatarios a visitar un sitio web de retiro falso y entregar sus frases de recuperación de 12 palabras bajo el pretexto de proteger sus billeteras. Los correos mencionan los dispositivos Passport Founder's Edition, Core y Prime mientras suplantan comunicaciones del CEO de Foundation, Zach Herbert. Las afirmaciones forman parte de una campaña de phishing y no de una vulnerabilidad de hardware confirmada ni de un retiro legítimo de productos. No se han atribuido hurtos ni pérdidas financieras verificadas de forma independiente a los últimos correos.

Los avisos de retiro falsos buscan robar frases de recuperación

La campaña de phishing utiliza una advertencia de seguridad urgente para convencer a los dueños de billeteras hardware de que sus dispositivos podrían haber sido comprometidos durante la fabricación o distribución. Los destinatarios son dirigidos a un sitio web que suplanta la infraestructura de soporte oficial de Foundation, donde se les indica ingresar sus frases de recuperación para completar una supuesta verificación de seguridad o procedimiento de retiro.

Cabe destacar que la página fraudulenta solicita credenciales de recuperación para billeteras de Bitcoin, Ethereum y Solana, a pesar de que los productos Passport de Foundation están diseñados principalmente en torno a la seguridad y autocustodia de Bitcoin. Los mensajes imitan la identidad de Herbert y las comunicaciones de seguridad de la empresa para hacer que el retiro parezca legítimo.

Quien entregue una frase de recuperación válida proporcionaría a los atacantes información suficiente para reconstruir la billetera asociada y potencialmente transferir sus activos sin acceder siquiera al dispositivo hardware físico. La campaña depende de obtener credenciales directamente de los usuarios, y los correos en circulación no demuestr que el firmware de Passport, los componentes de seguridad del hardware ni la infraestructura de la propia Foundation hayan sido comprometidos.

Foundation reitera la advertencia contra compartir las semillas de las billeteras

Foundation mantiene una política estricta de nunca solicitar credenciales de billeteras, incluidas frases de recuperación, claves privadas, frases contraseña y PIN, por correo electrónico, tickets de soporte o mensajes directos, tal como la empresa ha reiterado públicamente. También ha advertido a los usuarios sobre descargas de software no solicitadas, sitios web de verificación de billeteras y solicitudes de transferir criptomonedas por motivos de seguridad.

Los dueños de Passport deben ignorar los mensajes fraudulentos de retiro, evitar el sitio web vinculado y verificar cualquier aviso de seguridad genuino a través de los recursos oficiales de seguridad de Foundation.

Los usuarios que ya hayan ingresado una frase de recuperación en el sitio de phishing deben considerar que la billetera asociada está comprometida. Los fondos restantes deben trasladarse a una nueva billetera generada con una frase de recuperación completamente nueva mediante hardware o software confiables. Simplemente actualizar el firmware o cambiar el PIN del dispositivo no protegerá los fondos si un atacante ya posee las credenciales de recuperación.

Las campañas de phishing contra billeteras hardware continúan en la industria

La última campaña se asemeja mucho a los ataques de phishing coordinados que apuntaron a usuarios de Trezor y BitBox en septiembre. Aquellos mensajes afirmaban falsamente defectos de seguridad que afectaban la generación de frases de recuperación y dirigían a los destinatarios a sitios web de verificación fraudulentos. El incidente de Trezor involucró el acceso no autorizado a un servicio de correo de un tercero, mientras que BitBox investigó un caso similar relacionado con su proveedor de boletines.

Los dueños de billeteras hardware también han enfrentado estafas dirigidas tras filtraciones de información de clientes. Keystone recientemente reveló la exposición de direcciones de clientes y detalles de compras, creando oportunidades para que delincuentes suplanten personal de soporte utilizando información auténtica de pedidos. A comienzos de este año, los clientes de Ledger recibieron correos de phishing que afirmaban falsamente una fusión corporativa tras una filtración que involucró a su socio de comercio electrónico Global-e.

Foundation no ha revelado cuántos dueños de Passport recibieron los mensajes del 25 de octubre, ni ha identificado a los operadores detrás del sitio web de retiro falso o confirmado si se recopilaron frases de recuperación con éxito. La empresa continúa dirigiendo a los clientes a sus canales de soporte oficiales para inquietudes sobre la seguridad de las billeteras.