Filtración de datos de Pocket Bitcoin: cuando el nombre, el domicilio y la dirección de Bitcoin circulan juntos

En el proveedor suizo de servicios de Bitcoin Pocket Bitcoin han quedado expuestos, según la exposición de la empresa, los datos de 5.411 clientas y clientes. En 291 de ellos figuraban también, según el desglose del proveedor, las direcciones de Bitcoin que habían utilizado para sus compras, además de copias de documentos de identidad y justificantes sobre el origen de los fondos. Justo esa combinación es la parte que va más allá del caso concreto: un nombre junto a una dirección de Bitcoin no puede retirarse, porque la cadena de bloques conserva a la vista de todos cada movimiento de esa dirección.

Las monedas en sí no están afectadas, según la empresa. Aun así, el incidente merece la lectura de cualquiera que compre Bitcoin a través de un proveedor y se lo haga pagar a su propia cartera. Porque ese mismo emparejamiento de datos de identidad y dirección de recepción surge en cada compra, en cada retirada y en cada autorización de dirección, también en Alemania. El incidente muestra en qué se convierte una vez que sale de casa.

Qué ocurrió en la filtración de datos de Pocket Bitcoin

Pocket Bitcoin es un proveedor suizo que cambia por Bitcoin las transferencias bancarias entrantes y envía las monedas directamente a la cartera del cliente. La empresa no custodia claves, según su propia exposición; se trata de un servicio llamado no custodio. No custodio significa que el proveedor ya no puede disponer de las monedas tras el pago, porque la clave privada permanece en poder del usuario.

La empresa hizo público el incidente por primera vez el 21 de agosto de 2026. El 31 de agosto siguió un informe intermedio detallado, que Pocket Bitcoin revisó una vez más el 3 de septiembre de 2026, dando así por cerrada la investigación. En esa última versión consta la cifra que redimensiona el incidente: 5.411 afectados en lugar del grupo más reducido citado al principio. Puede leerse en el Security Incident Update de la empresa.

Como puerta de entrada, el proveedor señala su sistema de atención al cliente. Allí había documentos surgidos del intercambio con bancos asociados. La brecha ya estaría cerrada. El incidente se comunicó al Encargado Federal de Protección de Datos y Transparencia en Suiza y a la oficina de protección de datos de Liechtenstein; además, la empresa presentó denuncia.

Quién está afectado: 5.120 clientes con movimientos de cuenta, 291 con copias de identidad

La empresa distingue dos grupos, y esa diferencia importa más para valorar el riesgo que la cifra total.

El grupo mayor abarca a 5.120 personas. Lo afectado aquí son listas de transacciones que el proveedor había recibido de bancos asociados. Contienen nombres, direcciones y transferencias concretas con importe y fecha, y en una parte de los afectados también el IBAN. Quien figura en este grupo tiene expuesto su historial de compras en importes en euros o en francos, pero sin vínculo con una dirección de Bitcoin concreta.

El grupo menor abarca a 291 personas y pesa más. Aquí se trata de correspondencia que había ido a bancos asociados. Según el desglose de la empresa, podía contener nombres, direcciones postales, las direcciones de Bitcoin utilizadas para las transacciones, copias de documentos de identidad y justificantes sobre el origen de los fondos, en combinaciones variables. Un justificante sobre el origen de los fondos es un documento con el que un proveedor acredita de dónde procede el dinero ingresado, por ejemplo una nómina o un contrato de compraventa.

Esos 291 registros son el auténtico núcleo del incidente. Todo lo demás puede contenerse con los medios habituales: un IBAN expuesto se cambia, un documento de identidad se expide de nuevo, una dirección cambia en la próxima mudanza. Una dirección de Bitcoin vinculada una vez a un nombre sigue vinculada.

¿Estoy afectado por la filtración de Pocket Bitcoin? Cómo reconocerlo

Según la exposición de la empresa, se contactó individualmente con todas las personas afectadas, con una descripción de lo que había quedado expuesto en cada caso. Quien no haya recibido un mensaje personal así no figura, por esa lógica, en ninguna de las dos listas. Esta información procede del propio proveedor; no existe una lista de consulta independiente en la que uno pudiera buscar su propia dirección.

En la práctica eso significa: mira en el buzón que registraste con el proveedor, incluida la carpeta de correo no deseado y la pestaña de promociones. Comprueba la fecha. Una notificación de la semana posterior al 3 de septiembre de 2026 pertenece a la investigación cerrada; una más antigua, de agosto, al primer informe intermedio, que citaba la cifra menor. Ambos casos pueden afectar a la misma persona, con alcance distinto.

Lo que nunca deberías hacer en el proceso: seguir un enlace que te pida introducir una frase de recuperación. Ningún proveedor serio la pide, y Pocket Bitcoin lo deja expresamente claro en su comunicación. Lo mismo vale para cualquier requerimiento de mover un saldo a una dirección ajena por seguridad.

Qué revela sobre tu saldo una dirección de Bitcoin expuesta

Qué es una dirección de Bitcoin

Una dirección de Bitcoin es una cadena de caracteres a la que se envían monedas. No es una cuenta ni un secreto: se trata de un dato público de recepción, comparable a un número de cuenta cuyos apuntes puede consultar cualquiera. Justo ahí está la diferencia con la cuenta bancaria: en el banco solo ve los movimientos quien tiene acceso. En la cadena de bloques los ve todo el mundo, de forma permanente y sin registrarse.

Quien conoce una dirección puede consultar en cualquier explorador de la cadena de bloques cuánto hay en ella, cuándo entró y salió algo y hacia dónde siguió. Mientras nadie sepa a quién pertenece la dirección, es una serie de caracteres anónima entre millones de otras. Si se le añade un nombre, la valoración cambia de signo. La serie de caracteres se convierte en una declaración de patrimonio con marca de tiempo.

En los 291 registros existe exactamente esa atribución. Cuánto se ve realmente ahí depende de lo que la persona afectada haya hecho desde entonces. Quien nunca movió las monedas recibidas tiene su saldo visible en la dirección. Quien las envió más allá ha alargado el rastro, pero no lo ha terminado.

Por qué cambiar de dirección corta el rastro solo a medias

La reacción evidente dice: mandar las monedas a una dirección nueva y asunto resuelto. No es tan sencillo. Una transferencia en la cadena de bloques no borra el vínculo antiguo, le engancha uno nuevo. Quien conoce la dirección antigua ve la salida y ve también la dirección de recepción. La atribución viaja con ella.

Qué significa el control de monedas

El control de monedas, o coin control, es la posibilidad de elegir en una cartera qué saldos concretos se emplean para un pago. La utilidad está en la separación: quien nunca reúne en una misma transacción monedas de una dirección expuesta con monedas de otras procedencias impide que un observador atribuya ambos saldos a la misma persona. Si se gastan juntas, en cambio, el análisis de la cadena parte de la suposición evidente de que pertenecen a una misma mano.

Para los afectados eso significa, en concreto: mantener los saldos separados y gastarlos por separado. Crear una cartera nueva con su propia frase de recuperación y dirigir allí exclusivamente las compras futuras separa con limpieza el futuro del pasado. Las carteras que ofrecen realmente el control de monedas se diferencian bastante; cuáles son y en qué se reconocen consta en la comparativa de carteras de software.

Importa la valoración honesta: ninguna de estas medidas deshace una atribución ya publicada. Limita lo que se añadirá en el futuro. Quien espere de ello un anonimato completo sobrestima la herramienta.

Qué no resultó afectado: claves privadas, base de clientes, saldos

En su comunicación, la empresa enumera expresamente qué sistemas no fueron comprometidos según el resultado de la investigación: la base de datos de clientes con los datos de identidad, la base de datos de transacciones y los accesos al sistema. Las claves privadas no salieron en ningún momento del dispositivo de los usuarios, porque el servicio, por diseño, no las custodia en absoluto. Un acceso a los saldos no es posible, por tanto, por esa vía. Hasta ahora no se aprecia un uso indebido de los datos expuestos, escribe el proveedor.

Esta distinción no es un maquillaje, sino la diferencia entre dos cuadros de daños muy distintos. En un exchange con custodia, un ataque a la base de clientes habría colgado directamente del saldo. Aquí el saldo queda fuera del alcance del proveedor, y el daño es un daño de datos. Afecta a la privacidad y crea una superficie de ataque para el fraude, no para el robo con un clic del ratón.

El precio de esta arquitectura figura en el otro lado de la cuenta. Quien custodia él mismo las monedas asume también la responsabilidad de asegurarlas. La autorización de dirección con la que se configura una retirada es, además, justo el proceso en el que nace el emparejamiento de datos expuesto aquí.

Reconocer cartas falsificadas tras una filtración de datos

La empresa advierte a sus clientes sobre cartas falsificadas y otra correspondencia. El motivo está en la naturaleza de los datos expuestos. Quien conoce nombre, dirección, importe de la transferencia y fecha puede redactar un escrito que cite correctamente una transacción real. Con ello desaparece la señal por la que los intentos de fraude se identifican normalmente con mayor facilidad: el desconocimiento del remitente.

Puntos de comprobación útiles ante correspondencia relativa a tu cuenta cripto:

• Un código QR que inste a la recuperación, la copia de seguridad o la migración de una cartera es un ataque. No existe ningún proceso legítimo que empiece así.
• La presión de tiempo en el asunto, o un plazo de pocos días, es una señal de alarma, sobre todo si se amenaza con un bloqueo.
• Una transferencia citada correctamente ya no prueba nada desde que estos datos están expuestos. No la trates como prueba de autenticidad.
• Las consultas van por un canal que hayas elegido tú: la dirección del proveedor tecleada en el navegador o un número de teléfono de tu propia documentación.
• Un impreso que pida una frase de recuperación, ya sea por correo postal, formulario o llamada, es siempre fraudulento.

Hasta qué punto son profesionales hoy esas cartas lo muestra el caso que describimos bajo phishing de carteras cripto por carta. Allí el requerimiento llegó en papel impreso con apariencia corporativa, no por correo electrónico.

Domicilio más importe de compra: el riesgo físico

Ante las filtraciones de datos en el entorno cripto suele pensarse primero en las consecuencias digitales. La consecuencia más desagradable es otra. Una lista que reúne nombres, domicilios e importes de transferencia es una lista de direcciones ordenable por patrimonio. La misma preocupación afectó ya en agosto a los datos de compradores de dos fabricantes de carteras de hardware, filtrados a través de un proveedor de envíos; puede leerse en nuestro artículo sobre la filtración de datos de Trezor.

La diferencia con aquellos casos: allí el pedido revelaba que alguien había comprado una cartera de hardware y que, por tanto, probablemente posee criptoactivos. Aquí el importe figura al lado. Es una información bastante más precisa, y es la razón por la que los afectados no deberían descartar este punto como exagerado.

Lo que ayuda es poco espectacular y funciona igualmente. No hables de tus saldos en casa ni en tu círculo de amistades. No dejes el hardware ni las copias de seguridad en el lugar previsible. Quien guarda una frase de recuperación en un sitio separado del dispositivo ya ha hecho lo esencial frente a un robo en el domicilio.

Qué derechos te da el RGPD y dónde se aplica el plazo de diez años

Quien esté afectado tiene un derecho de acceso frente a la empresa responsable: a petición, esta debe comunicar qué datos personales trata y cuáles quedaron expuestos en el caso concreto. Es el primer paso más sensato, porque solo después puede valorarse si había en juego una dirección de Bitcoin o únicamente un movimiento de cuenta.

El segundo punto decepciona a muchos. Una solicitud de supresión suele quedar en nada ante los proveedores de servicios financieros, porque las obligaciones legales de conservación prevalecen. Pocket Bitcoin remite en su propia comunicación al deber de conservar diez años los datos de clientes y transacciones tras la conclusión de una operación. Ese deber es el precio de la regulación, y rige en el mismo sentido para cualquier proveedor autorizado en la UE.

En un proveedor suizo, la autoridad competente es el Encargado Federal de Protección de Datos y Transparencia, no una autoridad autonómica alemana de protección de datos. Los afectados con residencia en la UE pueden dirigirse no obstante primero a su autoridad de origen, que trasladará el caso. Quien se plantee una reclamación debería conservar la notificación de la empresa; es la prueba de haber estado afectado.

Qué deberían comprobar ahora los inversores alemanes en su propio proveedor

El incidente afecta a los clientes de un proveedor suizo. El emparejamiento de datos del que se trata, sin embargo, surge en todas partes. Cada exchange y cada bróker guarda las direcciones de retirada de sus clientes, por lo general en la libreta de direcciones de la función de pago y a menudo de forma permanente. Junto con los datos de identidad de la apertura de cuenta, en cada proveedor existe así exactamente la atribución que aquí se ha filtrado. Desde el 1 de enero de 2026 se suma la obligación de comunicación fiscal, que de todos modos pone en movimiento esos mismos datos de identidad.

Cuatro comprobaciones que se despachan en media hora:

1. Repasar la libreta de direcciones. Entra en tu proveedor y abre la lista de direcciones de retirada guardadas. Todo lo que ya no necesites ahí puede eliminarse. Eso reduce el conjunto de direcciones que en un caso serio podrían atribuirse a tu nombre.
2. No reutilizar direcciones. Si empleas la misma dirección para cada retirada, todo tu saldo se acumula en un punto conocido por el proveedor. Las carteras modernas generan una dirección nueva para cada recepción; usa esa función en lugar de teclear una y otra vez una dirección anotada en su día.
3. Fijar la vía de contacto. Guarda tú mismo el punto de atención oficial de tu proveedor. Quien no tiene que buscar en un caso serio tampoco hace clic en el primer enlace de un correo.
4. Comprobar la copia de seguridad. ¿Está tu frase de recuperación separada del dispositivo, y sabes con certeza que está completa y es legible? Una filtración de datos no cambia nada de eso, pero eleva la probabilidad de que alguien lo intente contigo.

Una indicación para situarlo: en un servicio no custodio, como en este caso, el saldo permanece en las propias manos incluso ante un daño de datos. Es una ventaja estructural frente al almacenamiento permanente en una plataforma de negociación, y pesa más que la diferencia de comodidad. Quien compra con regularidad y retira las monedas cada vez debería elegir a los proveedores según si admiten pagos automáticos a la cartera propia.

Filtración de datos de Pocket Bitcoin: lo que debes retener

1. Comprueba si te ha llegado una notificación personal y léela para ver si menciona una dirección de Bitcoin. Solo entonces existe la atribución crítica. Si hay una dirección afectada, traslada las compras futuras a una cartera recién creada y no reúnas saldos antiguos y nuevos en una misma transacción. Qué carteras admiten esa separación con limpieza lo muestra la comparativa de carteras de software.
2. Trata desde ahora toda la correspondencia sobre tu cuenta cripto como no verificada, aunque cite correctamente una transferencia real. Las consultas, solo por canales elegidos por ti. Y guarda tu copia de seguridad de modo que sobreviva a un robo en el domicilio; las diferencias entre los dispositivos constan en la comparativa de carteras de hardware.
3. Mira la libreta de direcciones de tu propio proveedor, seas o no cliente del servicio afectado. Quien en adelante se haga pagar automáticamente a su propia cartera reduce el rastro de datos en cada compra; qué proveedores lo ofrecen consta en la comparativa de planes de ahorro.

La investigación del proveedor está cerrada y, según sus indicaciones, hasta ahora no se aprecia un uso indebido. Para los afectados del grupo menor, el asunto no termina ahí, porque la atribución de su nombre y su dirección está en el mundo. Un resumen independiente de las cifras se encuentra en crypto.news.

(4 de septiembre de 2026. Este artículo no constituye asesoramiento de inversión. Los precios y las tarifas cambian; comprueba las condiciones con el proveedor antes de comprar.)