BitcoinIRA e iTrustCapital enfrentan acusaciones de ocultar violaciones de datos

Dos plataformas prominentes de cuentas de jubilación en criptomonedas, BitcoinIRA e iTrustCapital, están enfrentando serias acusaciones de violaciones de datos que supuestamente han llevado a más de 5 millones de dólares en criptomonedas robadas. El investigador en cadena ZachXBT ha vinculado estas violaciones a un actor de amenazas con sede en EE. UU. llamado Tiffany Milanovich, quien supuestamente obtuvo acceso no autorizado a las bases de datos de clientes.

Las violaciones han permitido una serie de ataques de ingeniería social, con víctimas que recibieron correos electrónicos falsificados que parecían originarse de BitcoinIRA. Una sola víctima perdió 1.2 millones de dólares en Bitcoin y Ethereum debido a un correo electrónico fraudulento que los engañó para revelar información sensible.

A pesar de la gravedad de la situación, ni BitcoinIRA ni iTrustCapital han reconocido públicamente las violaciones ni han proporcionado detalles sobre los datos comprometidos. A mediados de agosto, ambas empresas permanecieron en silencio sobre los incidentes, lo que genera preocupaciones sobre su transparencia y cumplimiento con las leyes de notificación de violaciones de datos en EE. UU.

La investigación de ZachXBT reveló que Milanovich utilizó detalles personales obtenidos de las violaciones para hacerse pasar por representantes de atención al cliente, facilitando campañas de phishing dirigidas. Este incidente refleja una creciente tendencia en el fraude de suplantación de identidad, con el FBI reportando 80,000 quejas relacionadas con la suplantación de identidad en soporte técnico en 2025, resultando en pérdidas de 2.9 mil millones de dólares.

En respuesta a las acusaciones, iTrustCapital afirmó que no había experimentado ninguna violación de datos, indicando que sus sistemas están diseñados para mitigar pérdidas por posibles estafas. BitcoinIRA aún no ha emitido una declaración pública.

Se aconseja a los inversores que sean cautelosos y traten las comunicaciones no solicitadas con escepticismo, ya que el soporte al cliente legítimo nunca solicitará claves privadas o frases semilla. Habilitar la autenticación de dos factores y verificar las comunicaciones a través de canales oficiales son pasos críticos para proteger los activos a la luz de estas violaciones.