Foundation, l'azienda dietro il hardware wallet Bitcoin Passport, ha dichiarato che le email truffaldine inviate dai suoi domini ufficiali sono state ricondotte ad almeno una chiave API Cloudflare compromessa. L'azienda ha revocato tutte le sue chiavi API la sera del 25 ottobre e ha affermato che i dispositivi Passport e i Bitcoin conservati al loro interno sono al sicuro.

"I fondi su Passport sono al sicuro", ha dichiarato l'azienda in un avviso pubblicato su X alle 23:47 ET. Lo spam che sembrava provenire dai domini ufficiali di Foundation era già in circolazione, e il dominio dannoso citato nei messaggi è stato disattivato.

Una chiave API consente al software di accedere a un account senza password: una singola fuga di dati può dare a chi la possiede un modo per entrare. "I fondi conservati su Passport sono al sicuro e l'hardware Passport non è stato compromesso", ha affermato Foundation. Ha aggiunto di lavorare giorno e notte per stabilire esattamente cosa è successo e che pubblicherà un rapporto — il documento atteso per chiarire come la chiave è stata esposta e se le informazioni sugli ordini dei clienti siano state accessi.

Secondo la guida di configurazione di Foundation, Passport Core è un dispositivo offline utilizzato per conservare le chiavi e firmare le transazioni. Ogni transazione è costruita da un software wallet abbinato, e il dispositivo la approva. È proprio questo design offline il motivo per cui campagne di questo tipo prendono di mira la casella di posta anziché l'hardware stesso.

Gli acquirenti dicono che i messaggi contenevano nomi e indirizzi

L'utente X @crisisdot ha dichiarato alle 23:29 ET di aver ricevuto un messaggio da hello@foundation.xyz in cui si affermava che i suoi fondi su Passport erano a rischio e lo si invitava a spostarli su una nuova recovery phrase. Lo stesso utente ha detto che un sito su incident.foundation.xyz era anch'esso attivo e che "email e DNS di Foundation sono compromessi".

Tre post dei destinatari — da @crisisdot, @tayvano_ e @CSBastiat — sono arrivati tra le 23:29 ET e le 23:44 ET, tutti prima che Foundation parlasse.

Un cliente ha detto che il messaggio faceva riferimento a un acquisto effettuato a metà del 2025 ed era riuscito a superare i filtri antispam. Lo stesso acquirente ha afferato che sembrava che i truffatori avessero un indirizzo di spedizione, nome, indirizzo email e informazioni sull'acquisto. Un altro destinatario ha detto che il proprio nome, indirizzo ed email erano inclusi nell'email.

Foundation non ha detto se le informazioni sugli ordini dei clienti siano state accessi o dove i mittenti abbiano ottenuto i dati. La sua informativa sulla privacy afferma che Foundation non può recuperare seed phrase o chiavi private perse e "non ti chiederà mai di divulgarle". Un messaggio che esorta a passare a una nuova recovery phrase va direttamente contro quell'indicazione, dato che la recovery phrase è la credenziale che non deve mai lasciare il dispositivo.

Trezor colpito da una campagna simile a settembre

Il produttore di wallet Trezor ha avvertito gli utenti di un falso "Critical Security Alert" inviato tramite il suo fornitore di servizi email di terze parti il 9 settembre, ha riferito Cryptopolitan. Un destinatario ha detto che il messaggio aveva superato i controlli DKIM, SPF e DMARC. Trezor ha disattivato il dominio utilizzato per l'invio.

Il CEO di Casa, Nick Neuman, ha detto che gli utenti BitBox sembravano ricevere email simili e che un fornitore di servizi email di marketing condiviso potrebbe essere stato compromesso. Un elenco degli acquirenti di Trezor era trapelato settimane prima: una violazione presso il partner di spedizione ShipMonk ha esposto nomi, indirizzi, numeri di telefono, email e dati degli ordini di circa 80.700 utenti. Trezor ha dichiarato che nessun dispositivo, chiave privata o backup del wallet è stato compromesso. Prese insieme, le campagne di settembre e ottobre mostrano i produttori di hardware wallet alle prese con una minaccia che raggiunge i clienti attraverso servizi di terze parti — invio email, configurazione cloud, spedizioni — anziché attraverso i dispositivi stessi.