PassportメーカーFoundation、漏えいしたCloudflare APIキーが自社ドメインからフィッシングメールを送信していたと発表
重要ポイント
- •Foundationは、公式ドメインから送信された詐欺メールの原因が少なくとも1件の漏えいしたCloudflare APIキーであることを突き止め、10月25日夜にすべてのAPIキーを失効させました。
- •同社は、Passportハードウェアおよびデバイスに保管されたBitcoinは侵害されていないと述べ、詐欺メールに記載されていた悪意あるドメインシャットダウンされたと発表しました。
- •受信者らは、フィッシングメールに氏名、住所、メールアドレス、購入情報が含まれており、新しいリカバリーフレーズへの移行を促されたと報告しています。
- •Foundationは、顧客の注文情報にアクセスがあったかどうかを確認しておらず、キーがどのように漏えいしたかを説明する報告書を公開する予定です。
- •この一件は、9月のTrezorに対するフィッシングキャンペーンと類似しており、攻撃者がデバイスそのものではなく、メール、クラウド設定、配送といったサードパーティサービスを経由してハードウェアウォレットの顧客を標的としていることを示しています。
Bitcoinハードウェアウォレット「Passport」を手がけるFoundationは、公式ドメインから送信された詐欺メールの原因が、少なくとも1件の漏えいしたCloudflare APIキーにあることを突き止めたと発表しました。同社は10月25日夜にすべてのAPIキーを失効させ、Passportデバイスと保管されていたBitcoinは安全であると述べています。
「Passportの資金は安全であり、Passportハードウェアは侵害されていない」と同社は、米東部時間午後11時47分にOn Xで投稿した警告の中で述べました。公式Foundationドメインから送られたように見えるスパムメールはすでに出回っており、メールに記載されていた悪意あるドメインはシャットダウンされています。
APIキーが漏えいすると、パスワードなしでアカウントにアクセスが可能となり、1件の漏えいだけで保有者が侵入する手段を得ることになります。「Passportに保管された資金は安全であり、Passportハードウェアは侵害されていない」とFoundationは述べました。同社は、何が起きたのかを正確に把握するため昼夜問わず対応しており、報告書を公開する予定であると付け加えました。この報告書には、キーがどのように漏えいしたか、顧客の注文情報にアクセスされたかどうかが明らかになる見込みです。
Foundationのセットアップガイドによると、Passport Coreはキーの保管とトランザクションの署名に使用されるオフラインデバイスです。各トランザクションはペアリングされたソフトウェアウォレットが構築し、デバイスが承認します。このようなオフライン設計であるため、この種の攻撃キャンペーンはハードウェアそのものではなく、受信トレイを標的とするのです。
購入者らは、メールに氏名と住所が含まれていたと証言
Xユーザーの@crisisdot氏は、米東部時間午後11時29分に、hello@foundation.xyzから「Passportの資金が危険にさらされているので、新しいリカバリーフレーズに移行するよう求める」メッセージを受け取ったと述べました。同氏は、incident.foundation.xyzというサイトも稼働しており、Foundationの「メールとDNS侵害されている」と述べています。
受信者からの3件の投稿 — @crisisdot、@tayvano_、@CSBastiat — は、米東部時間午後11時29分から11時44分の間に投稿され、いずれもFoundationが声明を出す前のものでした。
ある顧客は、メッセージが2025年半ばの購入に関するものであり、スパムフィルターをすり抜けたと述べました。同じ購入者は、詐欺師が配送先住所、氏名、メールアドレス、購入情報を握っていたように見えると述べました。別の受信者も、自分の氏名、住所、メールアドレスがメールに含まれていたと述べています。
Foundationは、顧客の注文情報にアクセスがあったか、送信者がどこから情報を入手したかについては言及していません。同社のプライバシーポリシーには、Foundationは紛失したシードフレーズや秘密鍵を復元することはできず、「それらを開示するようお願いすることは決してありません」と記載されています。新しいリカバリーフレーズへの移行を促すメッセージは、この指針に真っ向から反するものです。リカバリーフレーズは、デバイスから持ち出す必要が一切ない認証情報だからです。
Trezorも9月に同様のキャンペーンの被害を受ける
ウォレットメーカーのTrezorは、9月9日にサードパーティのメール配信プロバイダ経由で送信された偽の「Critical Security Alert(緊急セキュリティ警告)」についてユーザーに警告しました(Cryptopolitanが報道)。ある受信者は、このメッセージがDKIM、SPF、DMARCの認証を通過していたと述べました。Trezorは送信に使用されたドメインを停止させました。
CasaのCEOであるNick Neuman氏は、BitBoxユーザーも同様のメールを受け取っているように見え、共有のマーケティング用メールプロバイダが侵害された可能性があると述べました。それに先立つ数週間前、Trezorの購入者リストが漏えいしていました。配送パートナーのShipMonkでの侵害により、約80,700人分の氏名、住所、電話番号、メールアドレス、注文データが流出していました。Trezorは、デバイス、秘密鍵、ウォレットのバックアップはいずれも侵害されていないと述べています。9月と10月の一連のキャンペーンは、ハードウェアウォレットメーカーが、デバイスそのものではなく、メール配信、クラウド設定、配送といったサードパーティサービスを経由して顧客に届く脅威に直面していることを示しています。
