Emails de phishing relacionados com carteiras Bitcoin, que se faziam passar por um aviso de recolha urgente do Passport, chegaram aos clientes da Foundation a partir dos próprios domínios da empresa. O fabricante da carteira atribui a culpa a chaves de API da Cloudflare comprometidas, mas os destinatários dizem que as mensagens também revelaram as suas moradas.
A Foundation fabrica o Passport, uma carteira física exclusiva para Bitcoin. No entanto, a sua explicação aborda a forma como os emails foram enviados, mas não como os atacantes souberam quem possuía os dispositivos.
Como é que uma falsa recolha chegou a clientes reais?
Os emails chegaram no domingo com um aviso de recolha urgente. Afirmavam que um fornecedor tinha modificado um módulo de ecrã e que os atacantes estavam a desviar fundos dos dispositivos afetados.
A mensagem aconselhava os leitores a não esperar por uma substituição. Em vez disso, um link os direcionava para foundation.support, um site falso que imitava o Envoy, o aplicativo de carteira complementar da Foundation.
A página exibia uma carteira vazia com um botão de depósito, aparentemente para atrair as vítimas a enviar Bitcoin.
A isca de phishing de carteira Bitcoin explora um medo real. Relatos de carteiras de hardware adulteradas se espalharam ao longo de 2026, o que faz um alerta sobre a cadeia de suprimentos parecer plausível.
A Foundation se pronunciou na manhã de segunda-feira no X. Segundo a empresa, os invasores abusaram de uma ou mais chaves de API comprometidas da Cloudflare, e todas as chaves já foram revogadas.
A equipe afirma que também derrubou o domínio malicioso. Além disso, a Foundation diz que os fundos no Passport estão seguros e que o próprio dispositivo de hardware não foi comprometido.
COMUNICADO: FORAM ENVIADOS E-MAILS DE SPAM QUE PARECEM TER VINDO DE DOMÍNIOS OFICIAIS DA FOUNDATION.Rastreamos a origem até uma ou mais chaves de API comprometidas da Cloudflare e já revogamos todas as chaves de API.O domínio malicioso presente no e-mail de spam foi derrubado.…
— FOUNDATION (@FoundationHQ) 26 de outubro de 2026
Phishing de carteira Bitcoin deixa em aberto uma questão sobre dados de clientes
Ainda assim, vários usuários responderam que o roubo de chaves de API não explica como os invasores sabiam seus nomes, números de telefone e endereços postais.
Um usuário recebeu o e-mail de jobs@foundation.xyz, domínio verdadeiro da Foundation. O usuário disse que a mensagem incluía seu nome completo e o endereço associado a uma carteira comprada dois anos antes.
Recebi um e-mail de jobs@foundation.xyz (domínio verdadeiro deles) dizendo que a carteira que comprei deles há dois anos está comprometida. Ele contém meu nome completo e endereço. @FoundationHQ, isso é legítimo? @zherbert @sethforprivacy @btcqna pic.twitter.com/YUBQYTGkdY
— blockdyor (@blockdyor) 26 de outubro de 2026
Em 2022, a Foundation disse que hospeda por conta própria seus chats de suporte e a ferramenta de marketing por e-mail para limitar os riscos de terceiros.
Na mesma conversa, a empresa acrescentou que apaga os dados dos clientes 60 dias após o envio de um pedido.
Outro usuário disse que circularam duas versões do e-mail. Os clientes receberam mensagens com todos os detalhes do pedido, enquanto ex-candidatos a vagas de emprego viram apenas seus nomes.
Até agora, a Foundation não informou se seu banco de dados de clientes foi violado. A empresa diz que publicará um relatório completo assim que possível.
Dados de entrega vazados muitas vezes continuam circulando muito depois do golpe inicial. Por exemplo, compradores da Ledger receberam cartas falsas pelo correio após violações anteriores de dados de clientes.
Com isso, este incidente de phishing de carteira Bitcoin leva a ameaça da caixa de entrada até a porta de casa. Enquanto isso, a CertiK prevê que os ataques com chave inglesa contra usuários de criptomoedas podem atingir um recorde em 2026.