Foundation Passport: 23.000 correos de phishing salieron de los sistemas del fabricante de carteras

Si tienes una cartera física de Foundation, es posible que en los últimos días hayas recibido un correo que parecía del fabricante: dominio del remitente correcto, nombre correcto, saludo correcto. No lo era. Foundation, el fabricante estadounidense de la cartera de bitcoin Passport, reconoció en una carta a sus clientes del 29 de octubre de 2026 que unos atacantes habían tenido acceso a parte de su infraestructura de backend y habían enviado desde allí correos de phishing. Según el fabricante, el dispositivo que guardas en el cajón no está afectado. Tu dirección y tu número de teléfono, quizá sí.

Es el cuarto caso de este tipo en tres meses, y el patrón se repite: no se ataca la cartera, sino la tienda que la vende, el proveedor que la envía o el sistema de correo que escribe a los clientes. Lo que se filtra no se puede recuperar ni sustituir. Una dirección particular sigue siendo una dirección particular.

Foundation cifra en 23.000 los intentos de phishing y señala dos vías de envío

En la carta que Foundation envió a sus clientes el 29 de octubre de 2026, que puede leerse en su foro de la comunidad, la empresa habla de más de 23.000 intentos de correos de phishing. Según su propio recuento, 19.057 pasaron por el servicio de envío de correo Mailgun y 1.503 por Google Workspace. Ambos son sistemas que Foundation utiliza para comunicarse con sus clientes.

Una cifra de este desglose merece especial atención: más de 5.000 de las direcciones que recibieron correos de phishing no figuran en absoluto en los registros de clientes del fabricante. Lo dice la propia Foundation. Los atacantes introdujeron, por tanto, además de la lista de clientes, direcciones de otra procedencia. Quien recibió un correo así no es necesariamente cliente, y quien es cliente no lo recibió necesariamente.

Según la empresa, ha revocado las credenciales afectadas y todas las claves, ha borrado los mensajes de phishing que seguían en las colas, ha desconectado los sistemas antiguos afectados y ha asegurado las pruebas. Se ha anunciado un informe detallado del incidente, pero no estaba disponible al cierre de este artículo. La información de esta sección se basa en la carta de Foundation a sus clientes del 29 de octubre de 2026.

La entrada fue por una aplicación autoalojada, no por el firmware del Passport

Foundation atribuyó al principio la oleada de correos a claves de API comprometidas en Cloudflare. Una clave de API es una cadena de caracteres con la que un programa se identifica ante un servicio sin que una persona escriba una contraseña; quien la tiene actúa ante el servicio como el operador legítimo. La explicación posterior del 29 de octubre fue más precisa: según la empresa, los atacantes entraron en parte de la infraestructura de backend a través de una vulnerabilidad en una aplicación autoalojada.

Autoalojada significa que un software funciona en un servidor de la empresa en lugar de en la nube del proveedor, y que la compañía tiene que mantenerlo actualizado por su cuenta. Es una opción popular entre las empresas que quieren ceder pocos datos a terceros, y sigue la misma lógica por la que muchos usuarios de criptomonedas custodian ellos mismos sus claves. La contrapartida es la misma en ambos casos: quien gestiona por su cuenta también tiene que aplicar por su cuenta las actualizaciones de seguridad.

Sobre la pregunta que más preocupa a los propietarios, la declaración del fabricante es inequívoca. Foundation afirma que no hay indicios de que este incidente haya comprometido los dispositivos Passport ni las claves privadas que guardan. Encaja con el diseño del dispositivo: una cartera física guarda la clave privada en un chip que nunca la revela y no tiene conexión de red por la que alguien pudiera entrar desde fuera. Lo que protege tu saldo en bitcoin no tiene técnicamente nada que ver con la tienda online del fabricante. Nuestra predicción del precio de Bitcoin muestra dónde está ahora la moneda que guarda el Passport.

5.600 direcciones postales y 5.200 números de teléfono estaban en sistemas accesibles

Foundation cifra el alcance de los datos afectados en unas 5.600 direcciones postales y unos 5.200 números de teléfono, además de nombres y direcciones de correo electrónico. Estos datos proceden de un sistema de tienda antiguo. La empresa añade una salvedad más franca que las fórmulas habituales en este tipo de cartas: no puede asegurar con certeza si los atacantes accedieron a todos estos registros.

Esa franqueza es incómoda para los afectados, pero útil. Incómoda, porque no obtienes ninguna certeza. Útil, porque te permite partir del peor escenario sin tener que considerarte excesivamente prudente. Según el fabricante, los datos de pago no están incluidos, y las frases de recuperación nunca estuvieron allí, porque ningún fabricante serio llega a verlas.

Por qué SPF, DKIM y DMARC no alertaron de nada en este ataque

Los métodos en los que se basan los programas de correo para detectar remitentes falsos guardaron silencio aquí por una razón sencilla. SPF registra en el sistema de nombres de internet qué servidores pueden enviar correo en nombre de un dominio. DKIM añade a cada correo una firma criptográfica del servidor remitente. DMARC establece qué debe hacer el destinatario si uno de los dos no coincide.

Todas estas comprobaciones preguntan si un correo procede realmente del sistema que corresponde al dominio. Eso es exactamente lo que ocurrió aquí. Los mensajes salieron por Mailgun y Google Workspace, es decir, por las vías de envío habituales del fabricante, y estaban por tanto correctamente firmados y autorizados. Ningún filtro puede deducir de un correo bien firmado que la persona detrás de la cuenta de envío no era un empleado.

En la práctica, esto significa que la regla general de fijarse en la dirección del remitente falla por completo en este tipo de casos. Ya analizamos el problema a fondo en otro incidente, cuando llegaron correos de phishing desde un dominio de remitente real. Lo único que sigue sirviendo entonces es el contenido del correo.

El cuarto fabricante de carteras físicas en tres meses

El caso Foundation no es aislado, y esa es la verdadera conclusión. En agosto de 2026, Trezor informó de una filtración de datos que, según las cifras que dio entonces la empresa, afectó a casi 14.000 clientes; los atacantes entraron a través del proveedor logístico ShipMonk, que envía los paquetes. Ese mismo mes le tocó al fabricante SafePal. El 20 de octubre de 2026, alguien accedió a la tienda online de Keystone; el fabricante confirmó el incidente tres días después y señaló como filtrados nombres, datos de contacto, direcciones de entrega y detalles de pedidos. Las cifras sobre el alcance difieren, como explicamos en nuestro artículo del 25 de octubre de 2026 sobre la filtración de datos confirmada en Keystone: una versión habla de 25.964 compradores afectados; otra, de 18.835 dispositivos.

Cuatro fabricantes, cuatro puntos de entrada distintos y un denominador común. Cada vez se atacó la periferia: software de la tienda, socio logístico, sistema de correo, sistema antiguo. La elección del objetivo tiene lógica. El chip de una cartera física es caro de atacar y rinde un dispositivo por ataque. Una base de datos de pedidos es barata de atacar y rinde diez mil direcciones de personas que, de forma demostrable, poseen criptoactivos y los custodian ellas mismas. Para un atacante que busca víctimas, es la lista más valiosa que existe.

Los fabricantes no quedan por ello libres de responsabilidad, pero están en una posición incómoda. Construir un dispositivo para proteger claves privadas exige una disciplina distinta a gestionar una tienda online con logística de envío y boletín. La primera disciplina la dominan claramente los fabricantes citados. En la segunda ya hay cuatro pruebas sobre la mesa de que aún les queda trabajo.

La dirección de entrega es el dato que no se puede recuperar

Una contraseña se cambia en un minuto. El banco bloquea una tarjeta de crédito y envía una nueva. Con una dirección particular y un número de teléfono, esa lógica se acaba. Ambos siguen siendo válidos mientras vivas allí y uses ese teléfono, y ambos figuran ahora en un registro que dice expresamente: esta persona compró una cartera física.

Esa vinculación marca la diferencia con una filtración corriente en una tienda. A nadie le interesa que alguien haya comprado zapatillas de correr. Que alguien haya comprado un dispositivo cuyo único fin es custodiar criptoactivos es una preselección que un atacante no podría hacer por sí mismo. De ahí se derivan dos vías de ataque, ambas ya vistas en la práctica. Una es el phishing por carta: un envío postal con el nombre y la dirección correctos resulta mucho más creíble que un correo electrónico, y quien escanea un código QR de una carta rara vez comprueba adónde lleva. La otra es el acceso físico, al que el sector da el nombre de la herramienta con la que amenaza.

Este segundo riesgo es poco frecuente y no es motivo de pánico. Sí es un motivo para revisar con calma tu propia custodia. Eso incluye preguntarte si todas tus tenencias deben estar en un único dispositivo o si tiene más sentido repartirlas. Nuestra comparativa de carteras físicas muestra qué dispositivos están disponibles en Alemania y en qué se diferencian. En la práctica ayuda además un detalle que no cuesta nada en la próxima compra: un punto de recogida o una dirección de entrega que no sea tu casa.

La estafa en detalle: la falsa retirada de dispositivos

Según la empresa, los correos enviados a través de los sistemas de Foundation se basaban en una supuesta retirada de los dispositivos y en la petición de mover fondos. El montaje es hábil porque imita un procedimiento real: las retiradas existen, los fabricantes sí contactan con sus clientes y un problema de seguridad en tu propio dispositivo es justo el tipo de mensaje ante el que un propietario no se lo piensa mucho.

El fraude está en el paso siguiente. Una retirada significa normalmente que un dispositivo se devuelve o se sustituye. Nunca significa que transfieras tu saldo a ninguna parte, y nunca significa que introduzcas tu frase de recuperación en ningún sitio. Y ese es precisamente el objetivo: con doce o veinticuatro palabras se puede vaciar cualquier saldo en minutos, desde cualquier ordenador del mundo, sin necesidad del propio dispositivo.

Una segunda señal de alarma es la urgencia. Cualquier frase que fije un plazo de horas o alegue un riesgo inminente persigue lo mismo: que actúes antes de preguntar. Los fabricantes y las autoridades serios no fijan plazos de horas. La Oficina Federal de Seguridad de la Información de Alemania (BSI) ha recopilado los rasgos típicos de estos mensajes en sus páginas para consumidores sobre spam y phishing.

Lo que ningún fabricante pide jamás: frase de recuperación, PIN y passphrase

En su carta, Foundation formula un compromiso que vale palabra por palabra para cualquier otro fabricante: la empresa nunca pedirá la frase de recuperación, el PIN ni la passphrase, y nunca pedirá que se muevan fondos. De ahí se deriva una regla que funciona sin conocimientos técnicos y que ningún remitente falso puede eludir.

La frase de recuperación, normalmente llamada seed phrase o recovery phrase, es la lista de doce o veinticuatro palabras a partir de la cual se puede recalcular cada clave privada de tu cartera. Quien la conoce posee el saldo; el dispositivo pasa a ser solo un trozo de plástico. El PIN bloquea el dispositivo frente a accesos ajenos, y la passphrase es una palabra adicional que genera, a partir de la misma frase de recuperación, otra cuenta oculta.

Ninguno de estos tres datos se introduce jamás en ningún sitio online. Una frase de recuperación solo se introduce en el propio dispositivo, con sus propios botones, y en ningún otro lugar. Cualquier web, formulario, ventana de chat o supuesto agente de soporte que la pida queda así desenmascarado, por muy auténtica que parezca la dirección desde la que llega la petición. Esta única regla habría bastado en cada uno de los cuatro casos de los últimos tres meses.

También es importante saber lo que no tienes que hacer tras un incidente así. Una filtración de datos en el fabricante no es motivo para cambiar la frase de recuperación. Esa frase nunca estuvo en el sistema de la tienda, y cambiarla supone crear una cuenta nueva y transferir allí todo el saldo, con todas las fuentes de error y comisiones que conlleva. Quien lo hace con prisas por nerviosismo crea justo el riesgo que quería evitar.

Tus derechos según los artículos 15 y 34 del RGPD

Para los afectados en Alemania, el incidente no solo es una cuestión de seguridad, sino también de protección de datos. El Reglamento General de Protección de Datos se aplica a toda empresa que venda productos a clientes en la UE, aunque tenga su sede en Estados Unidos.

El artículo 15 te da un derecho de acceso: puedes exigir a Foundation que te comunique qué datos personales tiene sobre ti. El artículo 34 obliga a una empresa a notificar a los afectados una violación de datos cuando supone para ellos un riesgo alto. La carta a los clientes del 29 de octubre cumple formalmente esa función. Quien no haya recibido ninguna notificación pero haya comprado allí puede preguntar, en el mismo correo en el que solicite el acceso según el artículo 15.

Si una empresa no responde a esa solicitud en el plazo de un mes, puedes presentar una reclamación ante una autoridad de control. En Alemania es competente la autoridad de protección de datos del estado federado en el que vives; las direcciones figuran en la web del Comisionado Federal de Protección de Datos. Una reclamación de daños y perjuicios según el artículo 82 es jurídicamente posible en estos casos, pero exige un daño demostrable en concreto, y según la jurisprudencia hasta ahora, el mero hecho de que se hayan filtrado datos no basta.

Filtraciones en fabricantes de carteras: cuatro fabricantes y ninguna clave privada afectada

El balance de este año es incómodo y tranquilizador a la vez. Incómodo, porque los datos de clientes de cuatro fabricantes de carteras físicas acabaron en manos ajenas en tres meses, y eso ya no tiene arreglo. Tranquilizador, porque en ninguno de estos casos se vio afectada una clave privada ni una frase de recuperación. Los dispositivos cumplieron lo que prometen. Lo que falló fue el comercio que los rodea.

1. Revisa con calma tu custodia. Comprueba si todas tus tenencias están en un único dispositivo, si la frase de recuperación se guarda en un solo lugar y si ese lugar está protegido contra el fuego y el agua. La comparativa de carteras físicas muestra qué dispositivos están disponibles en Alemania y en qué se diferencian.
2. Decide de forma consciente sobre la parte que mueves a diario. Para importes pequeños que se mueven a menudo, una cartera de software es la herramienta más adecuada, mientras el dispositivo guarda las tenencias a largo plazo. Las diferencias aparecen en la comparativa de carteras de software.
3. Aclara qué parte necesita realmente autocustodia. Quien opera con regularidad necesita de todos modos una cuenta en un proveedor supervisado; el resumen de exchanges de criptomonedas regulados muestra qué plataformas operan en Alemania con licencia MiCA.

(1 de noviembre de 2026. Este artículo no constituye asesoramiento de inversión. Los precios y las tarifas cambian; comprueba las condiciones con el proveedor antes de comprar.)