Foundation, fabricante de las billeteras físicas Passport para Bitcoin, informó el 26 de octubre de 2026 que registros con unas 5,600 direcciones postales y 5,200 teléfonos quedaron potencialmente expuestos. También contenían nombres y correos electrónicos.
La empresa desconoce si los atacantes consultaron todos esos registros. Los registros procedían de sus tiendas en WooCommerce y Shopify.
Los correos parecían proceder de dominios oficiales de la compañía. Según crypto.news, Foundation atribuyó el envío a una o más claves API comprometidas de su cuenta en Cloudflare, revocó esas credenciales y retiró el dominio malicioso. Su CEO, Zach Herbert, explicó que una vulnerabilidad en una aplicación alojada por Foundation permitió entrar en parte de su infraestructura.
Datos que parecían eliminados
Según Foundation, las migraciones dejaron pedidos duplicados en tablas antiguas de WooCommerce. El borrado a los 60 días del envío actualizaba los registros del panel, pero omitía aquellas copias.
Registró también más de 23,000 intentos de phishing, con envíos repetidos o fallidos, que no equivalen a personas afectadas.
El objetivo es obtener la frase de recuperación
Foundation afirma que no encontró evidencia de compromiso de Passport ni de sus claves privadas.
La documentación de Passport Core explica que el dispositivo guarda las claves y firma transacciones sin conexión. También aclara que las palabras de recuperación permiten restablecer el acceso a los bitcoins en otra billetera compatible. Si una víctima entrega esa frase, el atacante puede recuperar la billetera en otro equipo.
Foundation publicará el informe al concluir la investigación.
