Claves filtradas de Cloudflare permiten a estafadores enviar correos desde el dominio de la Foundation
- La Fundación rastreó los correos electrónicos fraudulentos enviados desde sus dominios oficiales hasta una o más claves API de Cloudflare filtradas.
- La empresa revocó todas las claves API e indicó que el dominio malicioso utilizado en los correos electrónicos fue eliminado.
- Los destinatarios indicaron que los mensajes incluían sus nombres, direcciones y compras anteriores de Passport.
Se han enviado correos electrónicos fraudulentos desde los dominios de la Fundación. La empresa que fabricó la cartera de hardware Bitcoin Passport los ha rastreado hasta al menos una clave API de Cloudflare filtrada.
Revocó todas las claves API tarde el 25 de octubre y afirmó que los dispositivos Passport y el Bitcoin que contienen están seguros.
Los fondos de Passport están seguros, dijo la empresa a las 11:47 p. m. ET
A las 11:47 p. m. ET, Foundation publicó una advertencia en X. Ya circulaban correos de spam que parecían provenir de dominios oficiales de Foundation, y el dominio malicioso que contenían fue desactivado.
El software puede utilizar una clave de API para acceder a una cuenta sin necesidad de contraseña. Con una sola filtración, cualquiera que la posea puede obtener acceso.
“Los fondos almacenados en Passport son seguros y el hardware de Passport no ha sido comprometido”, afirmó la empresa. Indicó que estaba trabajando sin descanso para determinar exactamente qué sucedió y publicaría un informe.
La guía de configuración de Foundation indica que Passport Core es un dispositivo sin conexión utilizado para almacenar claves y firmar transacciones. Cada transacción es creada por una billetera de software emparejada y el dispositivo la aprueba.
Los compradores de Passport afirman que los mensajes incluían sus nombres y direcciones
El usuario de X @crisisdot dijo a las 11:29 p. m. ET que recibió un mensaje de [email protected] "indicando que mis fondos de Passport están en riesgo y pidiéndome que los transfiera a una nueva frase de recuperación."
El mismo usuario señaló que también estaba activo un sitio en incident.foundation.xyz y que el “correo electrónico y DNS de Foundation han sido comprometidos”. Tres publicaciones de destinatarios se registraron entre las 11:29 p.m. y las 11:44 p.m. ET (hora del Este).
Todas ellas fueron antes de que Foundation emitiera su declaración.
Un cliente dijo que el mensaje era sobre una compra realizada a mediados de 2025 y logró pasar los filtros de spam.
El mismo comprador dijo que parecía que los estafadores tenían una dirección de envío, nombre, dirección de correo electrónico e información de la compra. Otro destinatario dijo que su nombre, dirección y correo electrónico estaban en el correo electrónico.
Foundation no ha indicado si se accedió a la información de pedidos de los clientes ni de dónde obtuvieron la información los remitentes. Su política de privacidad establece que Foundation no puede recuperar frases semilla o claves privadas perdidas y "nunca le pedirá que las revele."
Trezor sufrió un incidente similar en septiembre. El fabricante de carteras advirtió a los usuarios sobre una falsa «Alerta de Seguridad Crítica» enviada a través de su proveedor de correo electrónico de terceros el 9 de septiembre, según informó Cryptopolitan.
Un destinatario informó que el mensaje superó las verificaciones DKIM, SPF y DMARC. Trezor eliminó el dominio utilizado para enviarlo.
El CEO de Casa, Nick Neuman, dijo que los usuarios de BitBox parecían estar recibiendo correos electrónicos similares y que podría haberse comprometido un proveedor de correo electrónico compartido para marketing.
Una lista de compradores de Trezor había sido filtrada semanas antes. Debido a la brecha de seguridad en el socio de envíos ShipMonk, se expusieron los nombres, direcciones, números de teléfono, correos electrónicos y datos de pedido de aproximadamente 80.700 usuarios.
Trezor afirmó que ningún dispositivo, clave privada ni copia de seguridad de billetera había sido comprometido.
Si estás leyendo esto, ya vas por delante. Mantente así con nuestro boletín.
Preguntas frecuentes
¿Qué causó los correos electrónicos de phishing de Foundation?
Una o más claves de API de Cloudflare comprometidas permitieron a los atacantes enviar spam que parecía provenir de los dominios oficiales de Foundation, según la empresa.
¿Están en riesgo las carteras de hardware Passport o el Bitcoin almacenado?
No. Foundation afirmó que los fondos almacenados en Passport están seguros y que el hardware de Passport no ha sido comprometido.
¿Qué ha hecho Foundation al respecto del incidente de seguridad?
Foundation revocó todas las claves de API y señaló que el dominio malicioso utilizado en los correos de spam fue eliminado.
Descargo de responsabilidad. La información proporcionada no constituye asesoramiento financiero. Cryptopolitan.com no asume ninguna responsabilidad por las inversiones realizadas basándose en la información proporcionada en esta página. Recomendamos encarecidamente realizar una investigación independiente y/o consultar con un profesional calificado antes de tomar cualquier decisión de inversión.
Randa Moses
Randa Moses es editora y reportera en Cryptopolitan, donde cubre tecnología, IA, robótica, criptomonedas, estafas y ciberataques. Ha trabajado en el espacio de las criptomonedas desde 2017. Ocupó cargos en Forward Protocol, AmaZix y Cryptosomniac. Randa posee un grado en Ingeniería Eléctrica y Electrónica de la Universidad de Bradford.
