Foundation, das Unternehmen hinter der Bitcoin-Hardware-Wallet Passport, teilte mit, dass Scam-E-Mails von seinen offiziellen Domains auf mindestens einen geleakten Cloudflare-API-Schlüssel zurückgeführt wurden. Das Unternehmen sperrte am späten 25. Oktober alle seine API-Schlüssel und erklärte, die Passport-Geräte und die darauf gespeicherten Bitcoin seien sicher.

"Die auf Passport gespeicherten Gelder sind sicher", erklärte das Unternehmen in einer auf X veröffentlichten Warnung um 23:47 Uhr ET. Spam, der von offiziellen Foundation-Domains zu stammen schien, war bereits im Umlauf, und die in den Nachrichten genannte bösartige Domain wurde abgeschaltet.

Ein API-Schlüssel ermöglicht Software den Zugriff auf ein Konto ohne Passwort; ein einziger Leak kann dem Inhaber den Zugang verschaffen. "Die auf Passport gespeicherten Gelder sind sicher und die Passport-Hardware ist nicht kompromittiert", erklärte Foundation. Das Unternehmen arbeite rund um die Uhr an der Aufklärung und werde einen Bericht veröffentlichen — das Dokument soll klären, wie der Schlüssel offengelegt wurde und ob auf Bestellinformationen von Kunden zugegriffen wurde.

Laut Foundations Setup-Anleitung ist Passport Core ein Offline-Gerät zur Speicherung von Schlüsseln und zum Signieren von Transaktionen. Jede Transaktion wird von einer gekoppelten Software-Wallet erstellt, und das Gerät genehmigt sie. Genau dieses Offline-Design ist der Grund, warum Kampagnen dieser Art das Postfach ins Visier nehmen statt der Hardware selbst.

Käufer berichten von Namen und Adressen in den Nachrichten

Der X-Nutzer @crisisdot teilte um 23:29 Uhr ET mit, eine Nachricht von hello@foundation.xyz erhalten zu haben, die darauf hinweise, dass "meine Passport-Gelder gefährdet seien" und er zu einer neuen Recovery-Phrase wechseln solle. Derselbe Nutzer berichtete, eine Seite unter incident.foundation.xyz sei ebenfalls erreichbar gewesen und Foundations "E-Mail und DNS seien kompromittiert."

Drei Beiträge von Empfängern — von @crisisdot, @tayvano_ und @CSBastiat — gingen zwischen 23:29 Uhr ET und 23:44 Uhr ET ein, alle vor Foundations Stellungnahme.

Ein Kunde sagte, die Nachricht bezog sich auf Kauf Mitte 2025 und hatte Spam-Filter passiert. Derselbe Käufer berichtete, die Betrüger hätten offenbar eine Lieferadresse, einen Namen, eine E-Mail-Adresse und Kaufinformationen besessen. Ein weiterer Empfänger sagte, sein Name, seine Adresse und seine E-Mail-Adresse seien in der E-Mail enthalten gewesen.

Foundation hat nicht bestätigt, ob auf Bestellinformationen von Kunden zugegriffen wurde oder woher die Absender die Daten hatten. Die Datenschutzrichtlinie des Unternehmens besagt, dass Foundation verlorene Seed-Phrases oder private Schlüssel nicht wiederherstellen kann und "Sie niemals auffordern wird, diese preiszugeben." Eine Nachricht, die zu einem Wechsel zu einer neuen Recovery-Phrase auffordert, widerspricht dieser Vorgabe direkt, denn die Recovery-Phrase ist die Zugangsberechtigung, die das Gerät nie verlassen muss.

Trezor traf im September eine ähnliche Kampagne

Der Wallet-Hersteller Trezor warnte seine Nutzer am 9. September vor einer gefälschten "Critical Security Alert", die über seinen externen E-Mail-Dienst verschickt wurde, wie Cryptopolitan berichtete. Ein Empfänger sagte, die Nachricht habe die DKIM-, SPF- und DMARC-Prüfungen bestanden. Trezor nahm die zum Versand genutzte Domain vom Netz.

Casa-CEO Nick Neuman sagte, BitBox-Nutzer schienen ähnliche E-Mails zu erhalten, und ein gemeinsam genutzter Marketing-E-Mail-Anbieter könnte kompromittiert worden sein. Eine Liste der Trezor-Käufer war Wochen zuvor aufgetaucht: Ein Angriff auf den Versandpartner ShipMonk legte die Namen, Adressen, Telefonnummern, E-Mail-Adressen und Bestelldaten von rund 80.700 Nutzern offen. Trezor erklärte, keine Geräte, privaten Schlüssel oder Wallet-Backups seien kompromittiert worden. Insgesamt zeigen die September- und Oktober-Kampagnen, dass Hardware-Wallet-Hersteller mit einer Bedrohung konfrontiert sind, die Kunden über Drittanbieter-Dienste erreicht — E-Mail-Versand, Cloud-Konfiguration, Versand — und nicht über die Geräte selbst.