Advertencia de Seguridad de la Fundación
La Fundación, fabricante de billeteras de hardware para Bitcoin, ha advertido a sus clientes sobre correos electrónicos fraudulentos que aparentan provenir de sus dominios oficiales, tras comprometer claves API de Cloudflare. Aseguran que los dispositivos Passport y los fondos almacenados en ellos permanecen seguros.
Detalles del Incidente
En un anuncio de seguridad emitido el 26 de octubre, la compañía informó que rastreó los correos electrónicos no autorizados hasta una o más claves API de Cloudflare comprometidas y revocó las credenciales tan pronto como se enteraron del incidente. Zach Herbert, cofundador y CEO de la compañía, reveló que los atacantes accedieron a partes de la infraestructura de backend a través de una vulnerabilidad en una aplicación autoalojada.
«Los fondos almacenados en Passport son seguros y el hardware de Passport no está comprometido»
La investigación está en curso para determinar si las comunicaciones de soporte al cliente y la información personal de los usuarios fueron expuestas. El incidente se hizo evidente cuando los clientes comenzaron a recibir mensajes sospechosos que parecían originarse de la infraestructura de correo electrónico legítima de la Fundación.
Medidas Tomadas
La Fundación afirmó haber identificado el problema y eliminado el dominio malicioso mencionado en los correos electrónicos. Además, revocaron sus claves API de Cloudflare como medida de seguridad inmediata. Sin embargo, no se reveló cuántos correos electrónicos fueron enviados, cuántos clientes los recibieron o si alguien siguió las instrucciones maliciosas.
Herbert proporcionó más información sobre la posible violación, explicando que los atacantes habían explotado una vulnerabilidad relacionada con una aplicación autoalojada.
«Los atacantes probablemente pudieron comprometer nuestro buzón de soporte al cliente»
, dijo, añadiendo que habían ganado la capacidad de enviar correos electrónicos que parecían legítimos.
Investigación en Curso
La compañía no ha publicado el contenido completo del correo electrónico de phishing ni ha confirmado si los usuarios ingresaron frases de recuperación u otra información sensible tras recibir los mensajes. La Fundación continúa su investigación y ha prometido publicar un informe detallando el incidente.
El ataque ha suscitado preocupaciones, ya que un mensaje que parece provenir de un fabricante de billeteras de hardware de confianza puede persuadir a los destinatarios a seguir instrucciones que de otro modo cuestionarían. Passport está diseñado para mantener las claves privadas de Bitcoin aisladas de dispositivos conectados a Internet.
Consejos para los Usuarios
Comprometer la infraestructura de correo electrónico de una compañía no implica, por sí mismo, que sus billeteras de hardware o las claves almacenadas en ellas hayan sido violadas. Sin embargo, los usuarios aún pueden perder criptomonedas si divulgan sus frases de recuperación a través de sitios web o aplicaciones fraudulentas.
Los clientes de billeteras de hardware enfrentaron una advertencia de phishing similar en septiembre, cuando Trezor y BitBox informaron sobre correos electrónicos maliciosos. La Fundación no ha confirmado que las frases de recuperación fueran robadas durante este incidente.
Los clientes que reciban mensajes sospechosos deben evitar seguir enlaces incrustados, ingresar frases de recuperación o conectar sus billeteras a aplicaciones desconocidas. Las comunicaciones que parecen originarse de dominios oficiales no deben ser tratadas como prueba de autenticidad.
Cualquiera que haya divulgado una frase de recuperación debe considerar la billetera asociada como comprometida y, cuando sea posible, transferir los fondos restantes a una billetera generada con una nueva frase de recuperación.
Compromiso de la Fundación
Herbert indicó que el equipo continuará respondiendo preguntas de los clientes mientras investiga la posible exposición del buzón de soporte, la aplicación comprometida y la fuente de la información personal que aparece en los correos electrónicos fraudulentos. La compañía se ha comprometido a compartir más detalles el 27 de octubre, y un informe formal del incidente seguirá una vez que su investigación establezca la secuencia completa de eventos.
