Correos falsos enviados desde Foundation buscan robar a dueños de billeteras Passport

Foundation, la empresa que fabrica la billetera de bitcoin Passport, confirmó el 26 de octubre que atacantes enviaron correos de estafa que parecían salir de sus dominios oficiales. Algunos mensajes incluían datos reales de los clientes, lo que los hace más creíbles. La empresa asegura que los equipos Passport no fueron vulnerados y que los fondos guardados en ellos están seguros. El consejo clave es no escribir nunca las palabras de recuperación en una página web ni mover fondos a una billetera que proponga un sitio.

Una billetera física como Passport guarda fuera de internet las claves que controlan los bitcoins. Su punto débil no suele ser el aparato, sino la persona que lo usa. Las palabras de recuperación, una lista de palabras que permite reconstruir la billetera en otro equipo, son lo que buscan estos fraudes: quien las tenga puede vaciar los fondos. Un correo que llega desde la dirección real del fabricante, con el nombre y los datos del pedido, es mucho más difícil de detectar que una estafa común.

El primer anuncio de Foundation vinculó el ataque con una o más claves de acceso comprometidas en Cloudflare, el proveedor de servicios web que usa la empresa. Esas claves permiten manejar por programa la configuración de una cuenta, y la empresa dice que ya revocó todas. También informó que el dominio malicioso al que llevaban los correos fue dado de baja. Foundation calificó el engaño como muy sofisticado y prometió un informe formal.

Horas después, el director ejecutivo, Zach Herbert, dio más detalles. Según explicó, parte de la infraestructura interna fue comprometida a través de una vulnerabilidad en una aplicación que la empresa aloja en sus propios servidores. Los atacantes probablemente lograron entrar en el buzón de atención al cliente y pudieron enviar correos con apariencia legítima. Herbert afirmó que, a los diez minutos de los primeros reportes de usuarios, cortaron esa capacidad de envío y expulsaron a los intrusos.

La procedencia de los datos personales sigue en investigación. Herbert atribuye las direcciones y los teléfonos que aparecían en algunos correos a tres posibles fuentes. La primera es el buzón de soporte. La segunda es el cruce con filtraciones recientes de otras empresas de criptomonedas. La tercera, todavía sin confirmar, son pedidos recientes en la nueva tienda de Foundation en Shopify, la plataforma de comercio electrónico.

Ese último punto abre una pregunta sobre cuánto tiempo guarda la empresa los datos de sus clientes. Varios usuarios señalaron que habían comprado hace meses y recordaron que Foundation prometía borrar esos datos a los 60 días. La empresa respondió que esa regla venía de una publicación de 2022 y que su política de privacidad cambió en mayo, cuando trasladó la tienda a Shopify. Para pedidos anteriores, admitió que los datos ya deberían haberse eliminado con la política vieja, y dijo que investiga por qué algunos registros no se borraron.

Para los clientes, la protección más efectiva es simple: ningún fabricante legítimo pide las palabras de recuperación, ni por correo ni en una web. Esa regla basta para frustrar este tipo de estafa aunque el mensaje venga de la dirección real de la empresa. Conviene desconfiar de avisos urgentes de retiro de productos o de fondos en riesgo y comprobar cualquier anuncio en los canales oficiales. Quien haya escrito sus palabras en un sitio debe considerar la billetera comprometida y mover los fondos a una nueva, creada desde el propio dispositivo.

Como análisis, es el segundo fabricante de billeteras físicas en pocos días que reconoce un problema con datos de clientes. El caso anterior fue el de Keystone, que confirmó que un tercero obtuvo nombres y direcciones de envío a través de su tienda en línea. En ambos, el riesgo no está en el aparato, sino en los sistemas de venta y soporte que rodean al producto. Foundation prometió compartir más detalles al día siguiente y publicar un informe formal con los cambios que hará.