Un sobre oscuro cerrado con un sello de lacre dorado sobre una superficie negra, junto a una moneda de bitcoin, con un segundo sello desplazado detrás como si fuera una copia
Ilustración propia generada con IA; no representa un producto real.

Un falso aviso de retirada del Passport llega desde el correo oficial de Foundation

Equipo NodeWitness 15 min de lectura

Foundation, fabricante del monedero físico Passport, ha confirmado que de madrugada salieron correos fraudulentos desde sus dominios oficiales. Anunciaban una retirada urgente del dispositivo y algunos llevaban el nombre y la dirección del destinatario. Los mensajes superaron los filtros que suelen delatar a un impostor, como ya ocurrió con Trezor en septiembre.

Actualización, 27/10/2026: Foundation publicó el lunes dos actualizaciones de su investigación. Añadimos cuántos registros de clientes estaban al alcance de los atacantes, cuántos correos fraudulentos intentaron enviar y por qué seguían ahí datos que la empresa creía anonimizados.

Foundation, la empresa de Boston que fabrica el monedero físico Passport para bitcoin [14], confirmó en la madrugada de este lunes 26/10 que se habían enviado correos no deseados «que parecen proceder de dominios oficiales de Foundation» [1]. La compañía atribuyó el envío a «una o más claves API de Cloudflare comprometidas», aseguró haberlas revocado todas y dio por desactivada la web maliciosa enlazada en los mensajes [1]. «Los fondos guardados en Passport están a salvo y el hardware de Passport no está comprometido», añadió [1]. No ha dicho cuántas personas recibieron el correo.

Su cofundador y consejero delegado, Zach Herbert, amplió la información horas después. Según su relato, parte de la infraestructura interna quedó expuesta por una vulnerabilidad en una aplicación que la empresa alojaba en sus propios servidores, y los atacantes «probablemente» accedieron al buzón de atención al cliente [2]. Más tarde precisó que cree que se trataba de su instalación de Cal.com, una herramienta para reservar citas [3]. Herbert sostiene que, diez minutos después de los primeros avisos de usuarios, Foundation cortó la capacidad de envío de los atacantes y los expulsó de sus sistemas [2]. «Lo siento mucho», escribió, antes de prometer más detalles para el martes [2].

Un falso aviso de retirada con la firma del consejero delegado

Los mensajes empezaron a llegar de madrugada, antes del anuncio de la empresa. Con el asunto «Your Passport funds are at risk» («Tus fondos de Passport están en riesgo»), salían de hello@foundation.xyz, la dirección habitual de la empresa, según las capturas de varios destinatarios [6][7]. Minutos después, Herbert respondió a un usuario que lo había denunciado en X con un escueto «esto no es real» [28].

Bajo el rótulo «Urgente · Aviso de retirada», el correo saludaba al destinatario por su nombre y le contaba que un proveedor había modificado «un módulo de pantalla» antes de que llegara a la fábrica y que se estaban sustrayendo fondos de los aparatos afectados «ahora mismo» [7]. Mostraba los tres modelos de Passport, llevaba la firma de Herbert y advertía de que la empresa no respondería de las pérdidas de quien no siguiera las instrucciones [7].

El botón remitía a una supuesta página de retirada colgada de un subdominio de foundation.xyz [8]. Un receptor contó que el mensaje le pedía pasar sus fondos a una nueva frase de recuperación [8], y CryptoCompass describe una web que solicitaba frases de carteras de bitcoin, Ethereum y Solana [15]. El mismo medio no ha encontrado robos verificados atribuidos a la campaña [15].

Datos reales en parte de los mensajes

Varios receptores aseguran que el texto incluía su nombre completo, su dirección postal, su correo y, en algún caso, su teléfono [10]. Uno de ellos, @tayvano_, lo vinculó a una compra de mediados de 2025 [13]. Otros dicen que solo figuraba su nombre, entre ellos personas que nunca compraron un Passport y que únicamente habían escrito a la empresa o optado a un empleo en ella [11][14]. Herbert reconoce que «un subconjunto de clientes» recibió correos con su dirección o su teléfono, y señala tres posibles orígenes de esos datos: el buzón de soporte, el cruce con «otras filtraciones recientes» del sector y, quizá, los pedidos de la nueva tienda de la compañía en Shopify [2].

Esa mañana, Foundation todavía no sabía si se habían llevado toda su lista de clientes. «Lo que intentamos averiguar es si se comprometió toda nuestra lista de clientes o solo los correos de nuestro buzón de soporte», explicó Herbert en X, y añadió que tienen indicios de que personas suscritas a sus listas de correo no recibieron el mensaje [4]. También cree que los atacantes lo enviaron a las direcciones de las filtraciones de Ledger y de otros fabricantes [5].

Datos que la empresa creía borrados

El mismo lunes, Foundation publicó en su foro las primeras cifras. Había detectado más de 23.000 intentos de envío de correos fraudulentos desde sus sistemas, 19.057 de ellos entregados a través de Mailgun y 1.503 enviados desde Google Workspace. Algunas direcciones recibieron varios mensajes y otros intentos fallaron o se frenaron antes de llegar [29]. Esas cifras no dicen cuántas personas tenían datos expuestos, y la empresa lo precisó en una segunda actualización. Entre su antigua tienda en WooCommerce y la actual en Shopify, los sistemas que alcanzaron los atacantes guardaban registros con unas 5.600 direcciones postales y 5.200 teléfonos, además de nombres y correos. Foundation no puede asegurar que accedieran a todos, así que los trata como posiblemente expuestos [30].

La explicación está en la limpieza de datos. Hasta mayo, la tienda funcionaba con WooCommerce, configurada para anonimizar los datos de cada cliente 60 días después del envío, y en el panel de administración los pedidos aparecían anonimizados. Pero en migraciones anteriores de la base de datos los pedidos se habían copiado a tablas nuevas, y las copias antiguas, que el proceso no tocaba, conservaban los datos personales [29]. Después, la empresa descubrió que ese borrado tampoco cubría todos los tipos de pedido, ni los carritos abandonados o los formularios de contacto [30]. En Shopify, los pedidos desde mayo ni siquiera se habían anonimizado, porque la herramienta para automatizarlo aún no estaba activa [29]. «Confiamos en la anonimización que mostraba nuestro panel de administración, y ahora sabemos que no bastaba», reconoce Foundation, que asume la responsabilidad [29].

Más de 5.000 de las direcciones que recibieron el phishing no aparecen entre sus clientes, y algunas coinciden con sus buzones de soporte y de empleo. Por eso la empresa está convencida de que los atacantes usaron también datos ajenos, aunque todavía no sabe de dónde salieron [30]. Según Foundation, no hay indicios de que el incidente comprometiera los Passport ni las claves privadas que guardan [30].

Por qué el remitente no delataba el fraude

El consejo clásico ante un phishing es mirar quién firma el correo. En este caso no servía. Para comprobar que un mensaje viene de quien dice, los proveedores de correo consultan tres registros que el dueño del dominio publica en su DNS, el sistema que traduce los nombres de internet [16]. SPF enumera los servidores autorizados a enviar en su nombre, DKIM añade una firma criptográfica que el receptor valida con una clave publicada en ese mismo DNS y DMARC indica qué hacer con lo que no supere esas pruebas [16]. Quien llega a la gestión del dominio o a la plataforma de envío de una empresa controla, por tanto, buena parte de lo que la bandeja de entrada da por auténtico.

Los encabezados de uno de los correos, que un destinatario publicó en X, muestran que superó las tres comprobaciones con la firma de foundation.xyz y que salió por Mailgun, un servicio de envíos masivos, desde un subdominio de la propia empresa [9]. Una consulta de NodeWitness a la configuración pública del dominio confirma que se gestiona en Cloudflare y que autoriza a Mailgun a enviar en su nombre. Foundation no ha aclarado si los atacantes crearon registros nuevos con las claves robadas o aprovecharon una configuración que ya existía. Esa misma mañana, el subdominio de la falsa retirada ya no respondía.

No todas las copias eran iguales. Un usuario recibió el mensaje desde foundatjon.xyz, con una letra cambiada, una suplantación de las de siempre que sí se descubre leyendo el remitente con calma [12].

Lo ocurrido recuerda a lo que sufrió Trezor en septiembre. El día 9, un atacante entró en Brevo, la plataforma que la marca usa para su boletín, y envió desde su cuenta un aviso falso sobre una «vulnerabilidad de entropía» en sus chips [17]. Brevo admitió que esos mensajes «superaron las comprobaciones habituales de autenticación» porque circularon por su infraestructura legítima [18]. Trezor anuló el dominio enlazado en 20 minutos, pero para entonces 2.500 personas habían pulsado el enlace, y después confirmó que se exportaron 347.149 contactos de su lista [17]. BitBox recibió un mensaje casi idéntico [18].

Segundo fabricante en tres días

El 24/10, Keystone confirmó que un tercero se había llevado nombres, contactos, direcciones y pedidos de sus clientes, como contamos en nuestro análisis de la filtración [24]. Con Foundation, son dos los fabricantes de monederos con datos de compradores en manos ajenas en una misma semana, en un año que ya acumulaba otros casos.

Los dos comparten además el origen del problema. Keystone explicó el lunes que sus 25.964 registros de compra expuestos debían haberse borrado a los 180 días y siguieron ahí porque falló su herramienta de borrado en bloque [31]. Foundation confiaba en una anonimización que no llegaba a las copias antiguas. Ambos guardaban datos que creían borrados, y ninguno detectó el fallo hasta la brecha.

Fecha (2026) Empresa Qué ocurrió Qué se sabe del alcance
Enero Ledger Global-e, su socio de comercio electrónico, expuso datos de pedidos [19] Nombres, direcciones y pedidos
13/08 Trezor Brecha de ShipMonk, su operador logístico [20] 80.689 clientes
16/08 SafePal Fallo de autorización en el seguimiento de pedidos [21] 39.798 clientes
09/09 Trezor y BitBox Correo falso enviado desde sus cuentas en Brevo [17][18] 347.149 contactos exportados de la lista de Trezor
17/10 NGRAVE Alerta falsa en su app a través del proveedor de notificaciones [22] Unos 2,56 M$ trazados por la empresa
24/10 Keystone Acceso de un tercero a su web oficial [24][31] 25.964 registros de compra y la clave que certifica sus dispositivos
26/10 Foundation Correo falso desde sus dominios [1][2][30] Unas 5.600 direcciones y 5.200 teléfonos, posiblemente expuestos

El cebo, además, se adapta a la actualidad. El falso aviso de Trezor hablaba de un fallo de entropía semanas después de que se conociera el problema real de COLDCARD, y el de Foundation describe un módulo de pantalla manipulado en la cadena de suministro. Es el mismo tipo de implante que, según Ledger, llevaban aparatos vendidos por el revendedor CryptoBilis y que leía las palabras que mostraba el dispositivo [23], un caso que detallamos en nuestra pieza sobre CryptoBilis. Para quien sigue las noticias del sector, la historia resultaba verosímil. Como en los tres ataques a monederos físicos de 2026, el objetivo no era el chip sino la persona que guarda la semilla.

Saber quién compró un monedero no equivale a saber qué monedas guarda. Lo que puede unir ambos datos lo explicamos en nuestro repaso a las herramientas de rastreo de bitcoin, del explorador gratuito a Chainalysis.

Lo que un fabricante no pide

La documentación de Foundation lo repite en la cabecera de sus páginas. La empresa «nunca» pedirá las palabras semilla ni el PIN del dispositivo, ni llamará sin previo aviso, y quien lo haga es un estafador [25]. Trezor, SafePal y NGRAVE se comprometen a lo mismo [17][21][22].

La razón es sencilla. La frase de recuperación es la copia de seguridad de las claves, y quien la conoce puede mover los fondos desde cualquier otro monedero sin tocar el aparato. Una retirada auténtica se resolvería sustituyendo el hardware, sin que el cliente tuviera que escribir sus palabras en una web.

Qué comprobar antes de hacer clic

Tras otra oleada de correos que suplantaban a la marca, Foundation pidió en agosto desconfiar de los mensajes que reclaman una «actualización de seguridad urgente», no descargar programas desde enlaces no solicitados y contactar con la empresa solo por su correo de soporte, su foro o los mensajes directos de sus cuentas oficiales, y recordó que nunca escribe primero por privado [26]. Crypto Times, en su resumen de las pautas de la compañía, aconseja verificar cualquier anuncio tecleando a mano foundation.xyz o en su cuenta verificada de X [14].

Para quien ya pulsó, Trezor explicó en su caso que abrir el enlace sin escribir nada no pone en riesgo los fondos, mientras que quien introdujo la frase debe pasar el saldo de inmediato a un monedero nuevo [17]. En España, la línea gratuita 017 de INCIBE atiende dudas de ciberseguridad [27]. El resto de la cobertura está en privacidad y autocustodia.

Foundation está rotando todas las claves y secretos de sus sistemas, incluidos aquellos sin indicios de acceso, y publicará su informe completo cuando termine la investigación [30].

Fuentes

Entre paréntesis, el tipo de fuente. Las páginas web se consultaron el 26/10/2026, salvo las fuentes 29 a 31, consultadas el 27/10/2026. Las horas son peninsulares.

  1. Foundation (@FoundationHQ), anuncio sobre los correos fraudulentos, 26/10/2026, 04:47. Claves API de Cloudflare comprometidas y revocadas, dominio malicioso desactivado, fondos y hardware a salvo. (Primaria, cuenta oficial en X)
  2. Zach Herbert (@zherbert), hilo sobre el incidente, 26/10/2026, 07:06. Aplicación vulnerable, buzón de soporte, corte del envío en diez minutos, orígenes posibles de los datos y detalles prometidos para el día siguiente. (Primaria, consejero delegado de la empresa)
  3. Zach Herbert (@zherbert), respuesta sobre la aplicación, 26/10/2026, 08:26. Instalación propia de Cal.com. (Primaria, consejero delegado de la empresa)
  4. Zach Herbert (@zherbert), respuesta sobre la lista de clientes, 26/10/2026, 07:58. Alcance aún sin determinar y suscriptores que no recibieron el correo. (Primaria, consejero delegado de la empresa)
  5. Zach Herbert (@zherbert), respuesta sobre otras filtraciones, 26/10/2026, 07:41. Envío a direcciones de las filtraciones de Ledger y otros fabricantes. (Primaria, consejero delegado de la empresa)
  6. @suwoonbro, capturas del correo recibido, 26/10/2026, 04:22. Remitente, asunto y hora de recepción. (Primaria, testimonio de usuario)
  7. @SoloSatoshi, capturas del correo, 26/10/2026, 04:23. Texto completo del falso aviso, modelos mostrados y firma. (Primaria, testimonio de usuario)
  8. @crisisdot, aviso a Foundation, 26/10/2026, 04:29. Petición de pasar a una nueva frase de recuperación y subdominio de la falsa retirada. (Primaria, testimonio de usuario)
  9. @dubdam, encabezados del correo, 26/10/2026, 04:15. Resultados de SPF, DKIM y DMARC y servicio de envío. (Primaria, testimonio de usuario con datos técnicos)
  10. Testimonios de destinatarios en X: @CSBastiat (04:30) y @LayerOne72736 (07:37), 26/10/2026. Nombre, dirección, correo y teléfono en el mensaje. (Primaria, testimonios de usuarios no verificados)
  11. @alexvanaken, respuesta al anuncio, 26/10/2026, 05:13. Dos versiones del correo, una solo con el nombre, recibida por un antiguo candidato a un empleo. (Primaria, testimonio de usuario no verificado)
  12. @methodman13, respuesta a Foundation, 26/10/2026, 04:17. Copia recibida desde foundatjon.xyz. (Primaria, testimonio de usuario)
  13. The Defiant, Foundation Links Passport Phishing Emails to Compromised Cloudflare API Keys, 26/10/2026, leído en su reproducción íntegra en Cryptonews. Testimonios sobre compras anteriores y avisos de la documentación de Foundation. (Secundaria, prensa)
  14. Crypto Times, Foundation Says Compromised Cloudflare API Keys Fueled Passport Wallet Phishing Emails, 26/10/2026. Sede en Boston, testimonios del foro de la empresa, receptores que no eran clientes y pautas de verificación. (Secundaria, prensa)
  15. CryptoCompass, Foundation Passport Users Targeted by Fake Wallet Recall Phishing Emails, 26/10/2026. Frases solicitadas por la web falsa y ausencia de robos verificados. (Secundaria, prensa)
  16. Cloudflare, What are DMARC, DKIM, and SPF?. Funcionamiento de los tres registros de autenticación del correo. (Secundaria, divulgación técnica)
  17. Trezor, Security incident at Brevo, our third-party email provider, 10/09/2026, actualizado el 17/09. Correo falso, 2.500 clics, 347.149 contactos exportados y pautas. (Primaria, blog oficial)
  18. Notebookcheck, Trezor phishing emails came from Trezor's own sending address, 12/09/2026. Explicación de Brevo sobre la autenticación y caso de BitBox. (Secundaria, prensa)
  19. Ledger, Global-e Incident to Order Data, January 2026. Datos de clientes expuestos en los sistemas de Global-e. (Primaria, soporte oficial)
  20. Trezor, Recent customer data exposed in shipping provider incident, 13/08/2026, actualizado el 04/09. Brecha de ShipMonk y 80.689 afectados. (Primaria, blog oficial)
  21. SafePal, Unauthorized Access To A Subset Of Customer Order Information, 16/08/2026. 39.798 clientes, datos expuestos y aviso de que la empresa nunca pide credenciales. (Primaria, comunicado oficial)
  22. NGRAVE, Incident report: the fake LIQUID security alert of 17 October, 19/10/2026. Proveedor de notificaciones, cifra trazada y pautas. (Primaria, informe oficial)
  23. Ledger, Update from Ledger Donjon on the CryptoBilis investigation, 13/10/2026. Implante que leía la pantalla de aparatos vendidos por CryptoBilis. (Primaria, comunicado oficial)
  24. Keystone (@KeystoneWallet), We owe you an apology, 24/10/2026, 19:59. Datos de clientes expuestos. (Primaria, cuenta oficial en X)
  25. Foundation, Foundation Docs. Aviso de que la empresa nunca pide las palabras semilla ni el PIN. (Primaria, documentación oficial)
  26. Foundation, aviso de phishing en LinkedIn, agosto de 2026. Canales de contacto oficiales y conductas de riesgo. (Primaria, cuenta oficial)
  27. INCIBE, Tu Ayuda en Ciberseguridad. Línea gratuita 017. (Primaria, organismo público)
  28. Zach Herbert (@zherbert), respuesta a @HodlMitch, 26/10/2026, 04:01. Primer desmentido del correo. (Primaria, consejero delegado de la empresa)
  29. Foundation, Incident Update, foro oficial, 26/10/2026. Más de 23.000 intentos de envío (19.057 por Mailgun y 1.503 por Google Workspace), copias de pedidos en tablas antiguas tras las migraciones y pedidos de Shopify sin anonimizar. (Primaria, foro oficial)
  30. Foundation (@FoundationHQ), Investigation Update 2, 26/10/2026, publicada también en el foro oficial. Unas 5.600 direcciones postales y 5.200 teléfonos posiblemente expuestos, fallos de la anonimización, correos ajenos a sus registros y rotación de claves. (Primaria, cuenta oficial en X)
  31. Keystone (@KeystoneWallet), Statement Regarding the Security Incident on Our Official Website and Customer Guidance, artículo en X, 26/10/2026. 25.964 registros de compra, clave de autenticación robada y fallo de la herramienta de borrado. (Primaria, cuenta oficial en X)

Más en Privacidad y autocustodia

Ver los 30 artículos de Privacidad y autocustodia →

Última actualización: 27 de octubre de 2026