Foundation, l’azienda di Boston che produce blockchain that runs exactly as written when it is called, holding and moving funds according to its code, without an intermediary able to change the outcome.">smart contract holding reserves of two or more tokens, supplied by users, that a decentralized exchange uses to execute trades automatically at a price set by a formula.">pool diverge, compared with simply holding the same tokens in a wallet. It becomes permanent when the provider withdraws.">il wallet hardware bitcoin Passport, ha dichiarato lunedì 26 ottobre di aver ricondotto a una o più chiavi API di Cloudflare compromesse l’ondata di email di phishing Foundation Passport arrivata ai suoi clienti. In un post su X delle 03:47 UTC l’azienda ha detto di aver revocato tutte le proprie chiavi API e di aver fatto rimuovere il dominio malevolo usato nelle email. Ha aggiunto che i fondi sui dispositivi Passport sono al sicuro e che l’hardware non è stato compromesso.
Resta senza spiegazione la parte che preoccupa di più i possessori. Diversi destinatari raccontano che le email li salutavano per nome e mostravano l’indirizzo di casa o di spedizione, in un caso anche un numero di telefono. Una chiave Cloudflare compromessa può spiegare come sono state inviate le email. Non spiega da dove siano arrivati i dati dei clienti, e l’azienda ha promesso una relazione dettagliata senza indicare una data.
Phishing Foundation Passport: cosa ha detto l’azienda e quando
La prima dichiarazione pubblica è arrivata su X dall’account ufficiale @FoundationHQ. Si apriva tutta in maiuscolo: «SONO STATE INVIATE EMAIL SPAM CHE SEMBRANO PROVENIRE DAI DOMINI UFFICIALI DI FOUNDATION.» L’azienda ha spiegato di aver ricondotto l’attività a «una o più chiavi API compromesse su Cloudflare», di aver revocato tutte le sue chiavi API e di aver ottenuto la rimozione del dominio malevolo. «I fondi custoditi su Passport sono al sicuro e l’hardware Passport non è compromesso», ha scritto, aggiungendo che seguirà una relazione completa.
Il sito di tecnologia RuntimeWire ha ripreso la dichiarazione alle 23:42 ora centrale degli Stati Uniti del 25 ottobre (le 04:42 UTC del 26 ottobre). Il post parla di spam; il sito di Foundation e chi ha ricevuto i messaggi li chiamano phishing. Il post non indica quante email siano partite né quante persone abbiano raggiunto.
Sul proprio sito Foundation ha aggiunto un breve avviso in cima alla pagina del blog: le email che dicono «Your Passport funds are at risk» («i tuoi fondi su Passport sono a rischio») sono una truffa di phishing, e l’azienda assicura di stare indagando. Alle 06:50 UTC del 26 ottobre il blog non conteneva alcun post sull’incidente. Gli ultimi articoli erano note sul software: KeyOS 1.4.1 del 22 ottobre ed Envoy 2.3.5 del 1° ottobre.
Le email usavano nomi e indirizzi di casa dei clienti
Il quadro più chiaro delle email arriva dal forum della community di Foundation. Una discussione intitolata «Email scam?» nella sezione Passport Prime è stata aperta alle 03:16 UTC del 26 ottobre e in meno di tre ore ha raccolto 15 messaggi di 12 utenti, secondo la discussione stessa.
Il primo utente ha scritto che il messaggio arrivava da [email protected], un dominio che imita il vero foundation.xyz cambiando una lettera, e che riportava il suo nome, l’indirizzo email e l’indirizzo di casa. Altri hanno confermato in fretta. Un utente ha ricevuto l’email a due indirizzi, uno dei quali usato di rado. Un altro ha detto che l’indirizzo email mascherato scelto al momento dell’ordine l’ha ricevuta, insieme all’indirizzo di casa e al numero di telefono. Un terzo ha riferito che l’«indirizzo di spedizione» mostrato coincideva con quello di fatturazione.
Sono segnalazioni individuali e Foundation non le ha confermate. Combaciano però tra loro: nome di battesimo, indirizzo email e indirizzo postale, a volte un numero di telefono. Un utente ha passato l’email al chatbot Gemini di Google, la cui analisi parlava di un «Urgent recall notice» (avviso urgente di richiamo) e sosteneva che i fondi venissero sottratti in quel momento. La stessa analisi riferiva che il pulsante dell’email passava per un reindirizzamento pubblicitario prima di approdare a una pagina ospitata su Arweave. Coindaro non ha potuto verificare quei link e l’analisi viene da un chatbot, quindi resta una pista, non un accertamento.
Alle 04:19 un utente ha pubblicato il testo della dichiarazione di Foundation, firmata «Jacob». Due minuti dopo lo stesso utente ha scritto che la revoca delle chiavi API non spiega come i mittenti avessero indirizzi email e di casa. Altri si sono chiesti perché l’azienda conservasse ancora i loro dati; uno credeva che i dati degli ordini venissero cancellati dopo 60 giorni. Alle 06:01, l’ora dell’ultimo messaggio visto da Coindaro, nella discussione non aveva risposto nessun account verificato dello staff di Foundation.
Il punto aperto: da dove arrivano i dati dei clienti?
Sono successe due cose distinte e Foundation ne ha affrontata una. La prima è l’invio: messaggi abbastanza credibili da arrivare nelle caselle di posta. La spiegazione dell’azienda, le chiavi Cloudflare compromesse, copre questo aspetto. La seconda è il contenuto: nomi e indirizzi abbinati a veri acquirenti di Passport. Nella dichiarazione non c’è nulla che dica se siano stati consultati i dati degli ordini, da chi o da quale sistema.
C’è anche una piccola discrepanza da chiarire. Il post di Foundation parla di email che sembrano provenire dai domini ufficiali dell’azienda, mentre la prima segnalazione sul forum indica un dominio simile all’originale. Possono essere vere entrambe se sono stati usati più indirizzi mittenti, ma Foundation non ha elencato i domini coinvolti.
Ecco che cosa Foundation non ha ancora detto, alle 06:50 UTC del 26 ottobre:
- quanti clienti hanno ricevuto l’email e in quali date;
- da dove arrivano nomi, indirizzi e numeri di telefono;
- quale account Cloudflare era esposto e come sono trapelate le chiavi;
- quali domini hanno inviato i messaggi, oltre a quello fatto rimuovere;
- se qualche possessore abbia digitato la frase di recupero nella pagina collegata e perso fondi (finora nessuna perdita è stata segnalata);
- quando uscirà la relazione dettagliata.
Perché una chiave Cloudflare trapelata può inviare email credibili
Quella che segue è una spiegazione generale, non la descrizione di questo caso, che Foundation non ha dettagliato. Molte aziende usano Cloudflare per gestire il DNS dei propri domini: i record pubblici che dicono a internet quali server rispondono per un sito e quali server possono inviare o ricevere posta per quel dominio. Una chiave o un token API di Cloudflare è una password per i programmi. A seconda dei permessi assegnati, può leggere o modificare quei record senza che nessuno entri nella dashboard.
I provider di posta controllano tre tipi di record prima di fidarsi di un messaggio: l’SPF elenca i server autorizzati a inviare per un dominio, il DKIM pubblica la chiave che firma la posta e il DMARC indica che cosa fare con i messaggi che non superano i controlli. Chi può modificare quei record può, in linea di principio, autorizzare un proprio server a inviare a nome dell’azienda, così i messaggi superano i filtri che di solito mandano i falsi nello spam. Lo stesso accesso permette anche di puntare un sottodominio a un sito controllato dall’attaccante. Per questo una chiave DNS trapelata è più pericolosa di un normale dominio imitato: la posta può sembrare a posto al filtro oltre che al lettore.
Niente di tutto questo tocca il dispositivo. Un Passport conserva le chiavi offline e nessuna email, nessun record DNS e nessuna pagina web possono spostare fondi senza la frase di recupero del proprietario o il dispositivo stesso. È il varco che il phishing cerca di aprire, convincendo il proprietario a digitare la frase su un sito. La nostra guida su come proteggere la seed phrase spiega perché la frase va inserita solo sul dispositivo.
Passport è l’ultimo wallet hardware colpito dal phishing sui dati dei clienti nel 2026
Foundation non è la prima casa produttrice di wallet quest’anno i cui dispositivi hanno tenuto mentre i sistemi intorno no. La maggior parte dei casi del 2026 è passata da negozi online, partner di spedizione, strumenti di posta o app, e ogni fuga di dati ha alimentato una nuova ondata di messaggi falsi.
A gennaio Ledger ha confermato che una violazione di Global-e, il partner di e-commerce che gestisce le sue vendite in valuta locale, ha esposto nomi, recapiti e dettagli degli ordini dei clienti, secondo The Register; Global-e ha iniziato a informare i clienti il 5 gennaio. Ledger e Global-e hanno detto che frasi di recupero e fondi non sono stati toccati. Ledger aveva già vissuto la stessa cosa nel 2020, quando la fuga degli indirizzi degli acquirenti aveva portato anni di email, telefonate e lettere di phishing.
Coldcard è l’eccezione. Tra fine luglio e agosto una falla nei suoi dispositivi ha causato furti veri. Galaxy Research ha contato 1.596 BTC rubati con certezza da circa 7.300 indirizzi, fino a circa 2.055 BTC includendo i casi sospetti, secondo ForkLog del 4 agosto. Sono seguite email false. Il 2 agosto la stessa Foundation aveva avvisato su X di aver visto email di phishing che la impersonavano dopo l’incidente Coldcard. Da allora gli acquirenti hanno fatto causa a Coinkite, come abbiamo raccontato nel nostro articolo sulla class action di Coldcard a Toronto.
Trezor ha avuto due incidenti. Ad agosto ha detto che una violazione presso il partner logistico ShipMonk aveva esposto i dati di 11.742 clienti, e all’inizio di settembre ha aggiunto altri 67.000 clienti statunitensi i cui nomi, indirizzi email, numeri di telefono, indirizzi di spedizione e numeri d’ordine erano trapelati, secondo Bitcoin Magazine. Poi, il 9 settembre, un’email inviata tramite un provider di posta di terze parti compromesso è arrivata ai clienti dal dominio di Trezor con l’oggetto «Critical Security Alert: STM32 Entropy Vulnerability», come ha riportato Decrypt. Secondo Bitcoin Magazine del 10 settembre, Trezor ha attribuito il fatto a una violazione del fornitore della newsletter Brevo e ha detto che l’email è arrivata a 347.000 clienti, che il dominio è stato bloccato a livello DNS in 20 minuti e che in 2.500 avevano già cliccato.
Ottobre ne ha portati altri due. Gli utenti di Ngrave hanno perso circa 2,56 milioni di dollari, una cifra che l’azienda definisce un minimo, dopo che il 17 ottobre un falso avviso è stato inviato tramite la sua stessa app, secondo il rapporto sull’incidente di Ngrave, come abbiamo scritto nel nostro articolo sul furto con l’avviso Ngrave. Poi il 24 ottobre Keystone ha comunicato che il suo negozio online aveva fatto trapelare nomi, recapiti, indirizzi di spedizione e ordini degli acquirenti, come spiegato nel nostro articolo sulla violazione dei dati di Keystone.
| Data (2026) | Produttore di wallet | Che cosa è stato esposto o sfruttato | Fondi persi |
|---|---|---|---|
| Gennaio | Ledger | Nomi, recapiti e ordini dei clienti presso il partner Global-e | Nessuna segnalata a causa della fuga |
| Da luglio ad agosto | Coldcard | Falla nel dispositivo, poi ondate di phishing | 1.596 BTC confermati (Galaxy Research) |
| Agosto | Trezor | Dati di clienti e spedizioni presso il partner ShipMonk | Nessuna segnalata a causa della fuga |
| 9 settembre | Trezor | Phishing inviato dal suo dominio tramite il provider di posta Brevo | Non indicata; 2.500 clic (Trezor, via Bitcoin Magazine) |
| 17 ottobre | Ngrave | Falso avviso inviato tramite la sua app | Almeno 2,56 milioni di dollari (Ngrave) |
| 24 ottobre | Keystone | Dati del negozio online: nomi, indirizzi, ordini | Nessuna segnalata |
| 26 ottobre | Foundation | Posta che Foundation riconduce a chiavi Cloudflare compromesse; i destinatari dicono di avervi trovato il proprio indirizzo | Nessuna segnalata |
Il caso di Passport è il più vicino all’episodio di Trezor di settembre: in entrambi l’azienda ha detto che la posta sembrava arrivare dai propri domini, cosa che rende un messaggio molto più difficile da riconoscere rispetto a un dominio simile. La differenza, per ora, è che Trezor ha fornito entro un giorno il numero dei destinatari e l’ora del blocco. Foundation non ha dato né l’uno né l’altra.
Cosa possono fare ora i possessori di Passport
L’avviso di Foundation ricorda la regola di base: non cliccare i link di queste email e non condividere la frase di recupero. Oltre a questo, i passaggi che seguono vengono da come sono andate le fughe di dati precedenti.
- Considerate falso qualunque messaggio su un richiamo, una falla di sicurezza o fondi a rischio, finché non compare su foundation.xyz o sull’account @FoundationHQ.
- Controllate il dominio del mittente lettera per lettera: una segnalazione riportava doundation.xyz al posto di foundation.xyz.
- Aspettatevi altri tentativi per SMS, telefono o posta, perché chi scrive sembra avere indirizzi postali e, in alcuni casi, numeri di telefono.
- Se avete digitato la frase di recupero su un sito qualsiasi, considerate che sia nota: create un nuovo wallet con una nuova frase e spostate i fondi.
Per chi vive in Italia valgono le regole europee sulla protezione dei dati (GDPR), che si applicano anche ai venditori statunitensi quando vendono a residenti nell’Unione europea. In caso di violazione di dati personali il titolare del trattamento deve notificarla al Garante per la protezione dei dati personali entro 72 ore da quando ne viene a conoscenza. Nessuna fonte dice che Foundation abbia notificato un’autorità, e l’azienda non ha confermato alcuna violazione dei dati. Chi ritiene che i propri dati siano stati usati in modo illecito può rivolgersi al Garante con una segnalazione o un reclamo. I messaggi di phishing si possono invece segnalare alla Polizia Postale, anche online tramite il commissariato di PS online (commissariatodips.it).
Il prossimo passo è la relazione di Foundation. Finché non dirà da dove arrivavano gli indirizzi, i possessori possono dare per scontato che chi ha inviato la posta conosca il loro nome, l’indirizzo email e quello postale.