Foundation, la empresa detrás de la cartera de hardware Bitcoin Passport, informó que los correos fraudulentos enviados desde sus dominios oficiales fueron rastreados hasta al menos una clave de API de Cloudflare filtrada. La compañía revocó todas sus claves de API la noche del 25 de octubre y afirmó que los dispositivos Passport y el Bitcoin almacenado en ellos están seguros.

"Los fondos de Passport están seguros", declaró la empresa en una advertencia publicada en X a las 11:47 p.m. ET. El spam que parecía provenir de dominios oficiales de Foundation ya circulaba, y el dominio malicioso mencionado en los mensajes fue cerrado.

Una clave de API permite al software acceder a una cuenta sin contraseña; una sola filtración puede dar acceso a quien la posea. "Los fondos almacenados en Passport están seguros y el hardware de Passport no ha sido comprometido", indicó Foundation. Añadió que trabaja las 24 horas para determinar exactamente qué ocurrió y que publicará un informe — documento que se espera aclare cómo se expuso la clave y si se accedió a información de pedidos de clientes.

Según la guía de configuración de Foundation, Passport Core es un dispositivo sin conexión utilizado para almacenar claves y firmar transacciones. Cada transacción es construida por una cartera de software emparejada, y el dispositivo la aprueba. Ese diseño sin conexión explica por qué las campañas de este tipo apuntan a la bandeja de entrada y no al hardware en sí.

Los compradores afirman que los mensajes contenían sus nombres y direcciones

El usuario de X @crisisdot dijo a las 11:29 p.m. ET que recibió un mensaje de hello@foundation.xyz que "decía que mis fondos de Passport estaban en riesgo y me pedía pasar a una nueva frase de recuperación". El mismo usuario señaló que un sitio en incident.foundation.xyz también estaba activo y que "el correo electrónico y el DNS de Foundation están comprometidos".

Tres publicaciones de destinatarios — de @crisisdot, @tayvano_ y @CSBastiat — llegaron entre las 11:29 p.m. ET y las 11:44 p.m. ET, todas antes de que Foundation se pronunciara.

Un cliente dijo que el mensaje hacía referencia a una compra realizada a mediados de 2025 y que había pasado los filtros de spam. El mismo comprador indicó que parecía que los estafadores tenían una dirección de envío, nombre, correo electrónico e información de compra. Otro destinatario dijo que su nombre, dirección y correo electrónico aparecían en el mensaje.

Foundation no ha confirmado si se accedió a información de pedidos de clientes ni de dónde obtuvieron los datos los remitentes. Su política de privacidad establece que Foundation no puede recuperar frases semilla ni claves privadas perdidas y "nunca le pedirá que las revele". Un mensaje que insta a cambiar a una nueva frase de recuperación contradice directamente esa orientación, ya que la frase de recuperación es la credencial que nunca necesita salir dispositivo.

Trezor sufrió una campaña similar en septiembre

El fabricante de carteras Trezor advirtió a los usuarios sobre una falsa "Alerta Crítica de Seguridad" enviada a través de su proveedor de correo de terceros el 9 de septiembre, según reportó Cryptopolitan. Un destinatario indicó que el mensaje pasó las verificaciones DKIM, SPF y DMARC. Trezor cerró el dominio utilizado para enviarlo.

El CEO de Casa, Nick Neuman, dijo que los usuarios de BitBox parecían estar recibiendo correos similares y que un proveedor compartido de correo de marketing podría haber sido comprometido. Una lista de compradores de Trezor se había filtrado semanas antes: una brecha en el socio logístico ShipMonk expuso los nombres, direcciones, números de teléfono, correos electrónicos y datos de pedidos de alrededor de 80,700 usuarios. Trezor afirmó que ningún dispositivo, clave privada ni respaldo de cartera fue comprometido. En conjunto, las campañas de septiembre y octubre muestran a los fabricantes de carteras de hardware enfrentando una amenaza que llega a los clientes a través de servicios de terceros — envío de correo, configuración en la nube, logística — y no a través de los dispositivos mismos.