Los mensajes fraudulentos no se limitaban a pedir que los clientes desconfiaran de su dispositivo: conducían a un sitio falso parecido a Envoy, la aplicación complementaria de Foundation. Allí, los atacantes intentaban obtener frases de recuperación o persuadir a las víctimas para que transfirieran sus fondos. La frase de recuperación da acceso a una cartera, por lo que entregarla a una página impostora puede permitir que un tercero tome el control de los activos.
Según la explicación de la compañía, unas claves comprometidas de la API de Cloudflare dieron a los intrusos la capacidad de enviar correos que parecían provenir de dominios oficiales de Foundation. La empresa dijo que revocó esas claves, desactivó el dominio malicioso y bloqueó el envío de nuevos mensajes no autorizados. El caso muestra cómo una intrusión en herramientas de comunicación puede servir para hacer más creíble una estafa, incluso sin que los atacantes vulneren directamente las carteras físicas.
El director ejecutivo de Foundation, Zach Herbert, afirmó que el equipo actuó dentro de los diez minutos posteriores a las notificaciones de usuarios. La compañía señaló que tomó medidas para detener la actividad identificada y cortar el uso de la infraestructura comprometida. Sin embargo, la rapidez con que respondió no aclara por sí sola cuántos datos quedaron expuestos ni cuántas personas recibieron el mensaje engañoso.
La información personal hace más convincente el engaño
La preocupación creció cuando algunos destinatarios reportaron que los correos incluían información personal precisa, como nombres, direcciones particulares, números de teléfono y datos de compras anteriores. Esos detalles pueden hacer que una alerta falsa parezca legítima, sobre todo cuando se presenta como un aviso relacionado con un producto que la persona realmente adquirió. La empresa no ha publicado una cifra de afectados ni un inventario definitivo de la información que pudo quedar expuesta.
Herbert reconoció que una vulnerabilidad en una aplicación autohospedada permitió comprometer parte de la infraestructura de backend de Foundation. Después identificó la aplicación como Cal.com y dijo que los atacantes probablemente accedieron al buzón de atención al cliente. La compañía todavía trabaja para determinar con precisión qué ocurrió, por lo que esa hipótesis no equivale a una confirmación de todas las vías de acceso ni del conjunto de datos consultados.
Entre las posibles fuentes de los datos, la empresa mencionó registros de clientes filtrados con anterioridad y compras recientes hechas en la tienda de Foundation a través de Shopify. La compañía no confirmó cuál de esas posibilidades explica la información que apareció en los mensajes, ni estableció si hubo más de una fuente. Por ahora, el origen concreto de los datos sigue bajo investigación y no debe tratarse una posibilidad como un hallazgo confirmado.
Algunos correos también llegaron, según se informó, a antiguos solicitantes de empleo y a personas que se habían comunicado con Foundation años atrás. Clientes que previamente habían pedido que la empresa eliminara sus datos cuestionaron por qué su información aparecía en la campaña. Herbert se disculpó y prometió ofrecer un informe más detallado al día siguiente, pero la compañía todavía no reveló el número de destinatarios ni el alcance total del incidente.
La compañía separa la intrusión de correo de la seguridad de Passport
Foundation sostuvo que los fondos guardados en Passport continúan a salvo y que el hardware no fue comprometido. La afirmación abarca los dispositivos Founder’s Edition, Core y Prime, según la información difundida por la empresa. En otras palabras, el incidente descrito afectaría a infraestructura de comunicación y backend; no constituiría, de acuerdo con Foundation, una vulneración de las claves privadas almacenadas en los dispositivos.
La diferencia no elimina el riesgo para los usuarios, porque una estafa puede intentar obtener acceso mediante engaño aunque la cartera física funcione con normalidad. En este caso, los atacantes combinaron una advertencia de seguridad inventada con datos personales de clientes para dar credibilidad a la solicitud. Por eso, una alerta que mencione el nombre, domicilio o historial de compra de una persona no demuestra que el mensaje sea auténtico ni que la empresa haya confirmado un fallo del producto.
Foundation recomendó ignorar los avisos de retiro no solicitados, verificar los anuncios en sus canales oficiales y no introducir nunca una frase de recuperación en un sitio web. La regla es relevante incluso cuando una página imita el aspecto de una aplicación conocida o el correo parece proceder de un dominio legítimo. La compañía también pidió cautela ante solicitudes que insten a transferir fondos como respuesta urgente a un supuesto defecto del dispositivo.
Quienes hayan revelado su frase de recuperación deben mover sus fondos a una cartera nueva, generada con un dispositivo de confianza, según la recomendación incluida en el aviso de Foundation. La compañía también se comprometió a esclarecer qué ocurrió y a publicar información adicional, mientras siguen abiertas preguntas sobre el alcance y la procedencia de los datos. Bitcoin News situó el incidente en un contexto de creciente preocupación por campañas de phishing dirigidas a usuarios de carteras de hardware y mencionó una filtración reciente de datos de clientes de Keystone; ese antecedente no demuestra una relación entre ambos casos.
Imagen original de DiarioBitcoin, creada con inteligencia artificial, de uso libre, licenciada bajo Dominio Público
Este artículo fue escrito por un redactor de contenido de IA
ADVERTENCIA: DiarioBitcoin ofrece contenido informativo y educativo sobre diversos temas, incluyendo criptomonedas, IA, tecnología y regulaciones. No brindamos asesoramiento financiero. Las inversiones en criptoactivos son de alto riesgo y pueden no ser adecuadas para todos. Investigue, consulte a un experto y verifique la legislación aplicable antes de invertir. Podría perder todo su capital.
diariobitcoin.com
