Foundation, la société derrière le portefeuille matériel Bitcoin Passport, a annoncé que les courriels frauduleux envoyés depuis ses domaines officiels ont été attribués à au moins une clé API Cloudflare divulguée. La société a révoqué toutes ses clés API tard le 25 octobre et a indiqué que les appareils Passport et les Bitcoin qu'ils contiennent sont en sécurité.

« Les fonds stockés sur Passport sont en sécurité », a déclaré la société dans un avertissement publié sur X à 23 h 47 HE. Des pourriels semblant provenir des domaines officiels de Foundation circulaient déjà, et le domaine malveillant mentionné dans les messages a été fermé.

Une clé API permet à un logiciel d'accéder à un compte sans mot de passe ; une seule divulgation peut donner à son détenteur un moyen d'entrer. « Les fonds stockés sur Passport sont en sécurité et le matériel Passport n'est pas compromis », a précisé Foundation. Elle a ajouté travailler sans relâche pour établir exactement ce qui s'est passé et publiera un rapport — un document qui devrait clarifier comment la clé a été exposée et si les informations de commande des clients ont été consultées.

Selon le guide de configuration de Foundation, le Passport Core est un appareil hors ligne utilisé pour stocker les clés et signer les transactions. Chaque transaction est construite par un portefeuille logiciel appairé, et l'appareil l'approuve. C'est cette conception hors ligne qui explique pourquoi les campagnes de ce type ciblent la boîte de réception plutôt que le matériel lui-même.

Les acheteurs affirment que les messages contenaient leurs noms et adresses

L'utilisateur X @crisisdot a déclaré à 23 h 29 HE avoir reçu un message de hello@foundation.xyz « indiquant que mes fonds Passport étaient en danger et me demandant de migrer vers une nouvelle phrase de récupération ». Le même utilisateur a indiqué qu'un site à l'adresse incident.foundation.xyz était également en ligne et que « les courriels et le DNS » de Foundation « sont compromis ».

Trois publications de destinataires — de @crisisdot, @tayvano_ et @CSBastiat — sont parvenues entre 23 h 29 HE et 23 h 44 HE, toutes avant que Foundation ne s'exprime.

Un client a déclaré que le message faisait référence à un achat effectué à la mi-2025 et avait franchi les filtres anti-pourriels. Le même acheteur a indiqué qu'il semblait que les escrocs détenaient une adresse de livraison, un nom, une adresse électronique et des informations d'achat. Un autre destinataire a affirmé que son nom, son adresse et son courriel figuraient dans le message.

Foundation n'a pas indiqué si les informations de commande des clients avaient été consultées ni où les expéditeurs avaient obtenu ces détails. Sa politique de confidentialité précise que Foundation ne peut pas récupérer les phrases seed ou les clés privéeses et « ne vous demandera jamais de les divulguer ». Un message invitant à migrer vers une nouvelle phrase de récupération va directement à l'encontre de ces consignes, puisque la phrase de récupération est l'identifiant qui n'a jamais besoin de quitter l'appareil.

Trezor touché par une campagne similaire en septembre

Le fabricant de portefeuilles Trezor avait averti ses utilisateurs d'une fausse « Alerte de sécurité critique » envoyée via son prestataire de messagerie tiers le 9 septembre, a rapporté Cryptopolitan. Un destinataire a indiqué que le message avait passé les vérifications DKIM, SPF et DMARC. Trezor a fermé le domaine utilisé pour l'envoyer.

Le PDG de Casa, Nick Neuman, a déclaré que les utilisateurs de BitBox semblaient recevoir des courriels similaires et qu'un prestataire de messagerie marketing partagé avait peut-être été compromis. Une liste d'acheteurs de Trezor avait fuité quelques semaines plus tôt : une violation chez le partenaire logistique ShipMonk a exposé les noms, adresses, numéros de téléphone, courriels et données de commande d'environ 80 700 utilisateurs. Trezor a précisé qu'aucun appareil, clé privée ou sauvegarde de portefeuille n'avait été compromis. Prises ensemble, les campagnes de septembre et d'octobre montrent que les fabricants de portefeuilles matériels font face à une menace qui atteint les clients via des services tiers — l'envoi de courriels, la configuration cloud, la logistique — plutôt que via les appareils eux-mêmes.