Foundation ha emesso un avvertimento agli utenti del hardware wallet Passport riguardo a email di phishing che impersonano l'azienda e affermano falsamente l'esistenza di una grave vulnerabilità nella supply chain che consentirebbe agli aggressori di rubare criptovalute dai dispositivi interessati.

I messaggi fraudolenti, circolati il 25 ottobre 2026, invitano i destinatari a visitare un sito di richiamo contraffatto e a inviare le proprie frasi di recupero di 12 parole con il pretesto di mettere in sicurezza i wallet. Le email fanno riferimento ai dispositivi Passport Founder's Edition, Core e Prime impersonando le comunicazioni dell'amministratore delegato di Foundation, Zach Herbert. Le affermazioni fanno parte di una campagna di phishing e non di una vulnerabilità hardware confermata o di un richimo di prodotto legittimo. Nessun furto o perdita finanziaria indipendentemente verificato è stato attribuito alle ultime email.

I finti avvisi di richiamo tentano di rubare le frasi di recupero

La campagna di phishing utilizza un urgente avviso di sicurezza per convincere i proprietari di hardware wallet che i loro dispositivi potrebbero essere stati compromessi durante la produzione o la distribuzione. I destinatari vengono indirizzati a un sito che impersona l'infrastruttura di supporto ufficiale di Foundation, dove viene chiesto di inserire le frasi di recupero per completare una presunta procedura di verifica di sicurezza o di richiamo.

In modo rilevante, la pagina fraudolenta richiede le credenziali di recupero per wallet Bitcoin, Ethereum e Solana, nonostante i prodotti Passport di Foundation siano progettati prevalentemente attorno alla sicurezza e all'autocustodia di Bitcoin. I messaggi imitano l'identità di Herbert e le comunicazioni di sicurezza dell'azienda nel tentativo di far apparire legittimo il richiamo.

Chi invia una frase di recupero valida fornirebbe agli aggressori informazioni sufficienti per ricostruire il wallet associato e potenzialmente trasferirne gli asset senza mai accedere al dispositivo hardware fisico. La campagna si basa sull'ottenere le credenziali direttamente dagli utenti, e le email in circolazione non dimostrano che il firmware Passport, i componenti di sicurezza hardware o l'infrastruttura di Foundation siano stati compromessi.

Foundation ribadisce l'avvertimento contro la condivisione dei seed dei wallet

Foundation mantiene una politica rigorosa di non richiedere mai le credenziali del wallet—tra cui frasi di recupero, chiavi private, passphrase e PIN—tramite email, ticket di supporto o messaggi diretti, come l'azienda ha ribadito pubblicamente. Ha inoltre messo in guardia gli utenti da download di software non richiesti, siti di verifica dei wallet e richieste di trasferimento di criptovalute per motivi di sicurezza.

I proprietari di Passport dovrebbero ignorare i messaggi fraudolenti di richiamo, evitare il sito collegato e verificare eventuali avvisi di sicurezza autentici tramite le risorse di sicurezza ufficiali di Foundation.

Gli utenti che hanno già inserito una frase di recupero nel sito di phishing dovrebbero considerare il wallet associato come compromesso. I fondi rimanenti dovrebbero essere trasferiti su un nuovo wallet generato con una frase di recupero completamente nuova tramite hardware o software affidabili. La semplice aggiornamento del firmware o la modifica del PIN del dispositivo non proteggerà i fondi se un aggressore possiede già le credenziali di recupero.

Le campagne di phishing contro gli hardware wallet continuano nel settore

L'ultima campagna assomiglia da vicino agli attacchi di phishing coordinati che hanno preso di mira gli utenti di Trezor e BitBox a settembre. Quei messaggi affermavano falsamente difetti di sicurezza che riguardavano la generazione delle frasi di recupero dei wallet e indirizzavano i destinatari verso siti di verifica fraudolenti. L'incidente di Trezor ha coinvolto l'accesso non autorizzato a un servizio email di terze parti, mentre BitBox ha indagato su un caso simile riguardante il suo fornitore di newsletter.

I proprietari di hardware wallet hanno anche affrontato truffe mirate a seguito di violazioni delle informazioni dei clienti. Keystone ha recentemente divulgato l'esposizione di indirizzi dei clienti e dettagli degli acquisti, creando opportunità per i criminali di impersonare il personale di supporto utilizzando informazioni autentiche degli ordini. All'inizio di quest'anno, i clienti di Ledger hanno ricevuto email di phishing che affermavano falsamente una fusione aziendale dopo una violazione che coinvolgeva il partner e-commerce Global-e.

Foundation non ha divulgato quanti proprietari di Passport abbiano ricevuto i messaggi del 25 ottobre, identificato gli operatori dietro il finto sito di richimo né confermato se qualche frase di recupero sia stata effettivamente raccolta. L'azienda continua a indirizzare i clienti ai suoi canali di supporto ufficiali per le questioni di sicurezza dei wallet.