Foundation a publié un avertissement à l'attention des utilisateurs du hardware wallet Passport concernant des e-mails de phishing usurpant l'identité de l'entreprise et affirmant faussement l'existence d'une vulnérabilité critique de la chaîne d'approvisionnement qui permettrait à des attaquants de voler les crypto-monnaies des appareils concernés.

Les messages frauduleux, qui ont circulé le 25 octobre 2026, incitent les destinataires à visiter un site web de rappel contrefait et à soumettre leurs phrases de récupération de 12 mots sous prétexte de sécuriser leur portefeuille. Les e-mails mentionnent les appareils Passport Founder's Edition, Core et Prime tout en imitant des communications du PDG de Foundation, Zach Herbert. Ces affirmations s'inscrivent dans le cadre d'une campagne de phishing plutôt que d'une vulnérabilité matérielle confirmée ou d'un rappel de produit légitime. Aucun vol ni aucune perte financière n'ont été vérifiés de manière indépendante et attribués à ces derniers e-mails.

De faux avis de rappel cherchent à dérober les phrases de récupération

La campagne de phishing utilise un avertissement de sécurité urgent pour convaincre les propriétaires de hardware wallets que leurs appareils auraient pu être compromis lors de la fabrication ou de la distribution. Les destinataires sont redirigés vers un site web imitant l'infrastructure de support officielle de Foundation, où il leur est demandé de saisir leurs phrases de récupération pour mener à bien une prétendue procédure de vérification de sécurité ou de rappel.

Fait notable, la page frauduleuse demande des identifiants de récupération pour des portefeuilles Bitcoin, Ethereum et Solana, alors que les produits Passport de Foundation sont principalement conçus autour de la sécurité et de l'autodécentralisation de Bitcoin. Les messages imitent l'identité de Herbert et les communications de sécurité de l'entreprise afin de donner au rappel une apparence légitime.

Quiconque soumet une phrase de récupération valide fournirait aux attaquants des informations suffisantes pour reconstituer le portefeuille concerné et potentiellement transférer ses actifs sans jamais accéder à l'appareil matériel physique. La campagne repose sur l'obtention directe des identifiants auprès des utilisateurs, et les e-mails en circulation n'établissent pas que le firmware Passport, les composants de sécurité matérielle ou l'infrastructure propre de Foundation aient été compromis.

Foundation réitère sa mise en garde contre le partage des seeds de portefeuille

Foundation applique une politique stricte consistant à ne jamais demander d'identifiants de portefeuille — y compris les phrases de récupération, les clés privées, les phrases secrètes et les codes PIN — par e-mail, via les tickets de support ou par message direct, comme l'entreprise l'a réaffirmé publiquement. Elle a également mis en garde les utilisateurs contre les téléchargements de logiciels non sollicités, les sites web de vérification de portefeuille et les demandes de transfert de crypto-monnaies pour des raisons de sécurité.

Les propriétaires de Passport doivent ignorer les messages de rappel frauduleux, éviter le site web lié et vérifier tout avis de sécurité authentique via les ressources de sécurité officielles de Foundation.

Les utilisateurs ayant déjà saisi une phrase de récupération sur le site de phishing doivent considérer le portefeuille concerné comme compromis. Les fonds restants doivent être transférés vers un nouveau portefeuille généré avec une phrase de récupération entièrement nouvelle, via un matériel ou un logiciel de confiance. La simple mise à jour du firmware ou le changement du code PIN de l'appareil ne protégera pas les fonds si un attaquant possède déjà les identifiants de récupération.

Les campagnes de phishing visant les hardware wallets se poursuivent dans le secteur

La dernière campagne ressemble étroitement aux attaques de phishing coordonnées qui ont ciblé les utilisateurs de Trezor et BitBox en septembre. Ces messages prétendaient faussement à des défauts de sécurité affectant la génération des phrases de récupération des portefeuilles et redirigeaient les destinataires vers de faux sites de vérification. L'incident de Trezor impliquait un accès non autorisé à un service de messagerie tiers, tandis que BitBox a enquêté sur un cas similaire impliquant son fournisseur de newsletter.

Les propriétaires de hardware wallets ont également été confrontés à des arnaques ciblées à la suite de fuites d'informations clients. Keystone a récemment divulgué l'exposition d'adresses clients et de détails d'achat, offrant à des criminels la possibilité d'usurper l'identité du personnel de support en s'appuyant sur des informations de commande authentiques. Plus tôt cette année, des clients de Ledger ont reçu des e-mails de phishing annonçant faussement une fusion'entreprises après une fuite impliquant son partenaire e-commerce Global-e.

Foundation n'a pas divulgué combien de propriétaires de Passport ont reçu les messages du 25 octobre, n'a pas identifié les opérateurs derrière le faux site de rappel ni confirmé si des phrases de récupération ont effectivement été collectées. L'entreprise continue de diriger les clients vers ses canaux de support officiels pour toute question relative à la sécurité des portefeuilles.