Phishing a propietarios de Passport enviado desde los propios sistemas de Foundation

Entre el 25 y el 26 de octubre de 2026 los propietarios de Passport recibieron correos desde los dominios oficiales de Foundation que se hacían pasar por una retirada urgente del producto. Afirmaban que un proveedor había modificado un módulo de pantalla y que se estaban vaciando fondos, y enlazaban a foundation.support, un sitio falso que imitaba la aplicación Envoy de Foundation. Algunos correos incluían el nombre, el número de teléfono y la dirección postal de los destinatarios.

Foundation atribuyó en un principio los correos a claves de API de Cloudflare comprometidas. Su explicación posterior es que los atacantes llegaron a una parte de su backend a través de una vulnerabilidad en una aplicación autoalojada y probablemente accedieron a su buzón de soporte al cliente; CriptoNoticias informa de que el CEO, Zach Herbert, identificó la aplicación de reservas Cal.com. Foundation contabiliza más de 23 000 intentos de phishing, de los que enumera 19 057 a través de Mailgun y 1503 a través de Google Workspace, algunos de los cuales fallaron o se detuvieron.

Foundation descubrió que copias antiguas de las tablas de pedidos de su anterior tienda WooCommerce, además de reembolsos, carritos abandonados y formularios de contacto, seguían conteniendo datos personales pese a su política de eliminación a los 60 días, y que los pedidos de Shopify desde mayo de 2026 aún no se habían anonimizado. Considera potencialmente expuestas unas 5600 direcciones postales y 5200 números de teléfono, con nombres y correos electrónicos. Más de 5000 destinatarios no figuran en sus registros, por lo que cree que también se utilizaron datos externos. Foundation dice que detuvo los correos en los 10 minutos siguientes a los avisos de los usuarios, revocó claves y credenciales y retiró el dominio falso, y afirma que no encontró indicios de que los dispositivos Passport o sus claves se vieran comprometidos. A finales de octubre siguieron nuevos correos, un sitio falso (foundation[.]holdings) y llamadas telefónicas fraudulentas; el informe completo está pendiente.

Qué recomienda Foundation:

• No introduzcas nunca tu frase de recuperación en un sitio web ni la compartas con nadie; Foundation nunca te la pedirá y no existe ningún programa de retirada.
• Si introdujiste tus palabras semilla en algún sitio, mueve los fondos de inmediato a una billetera nueva con una semilla nueva y contacta con Foundation.
• Si recibes un dispositivo que no has pedido, no lo enciendas.