Foundation, het bedrijf achter de Passport Bitcoin hardware wallet, heeft laten weten dat scammails die vanaf zijn officiële domeinen waren verstuurd, zijn herleid tot minstens één gelekte Cloudflare API-sleutel. Het bedrijf trok op 25 oktober in de late avond al zijn API-sleutels in en zei dat Passport-apparaten en de erop opgeslagen bitcoin veilig zijn.

"Passport-fondsen zijn veilig", aldus het bedrijf in een waarschuwing die om 23:47 uur ET werd geplaatst op X. Spam die af leek te komen van officiële Foundation-domeinen was toen al in omloop, en het kwaadaardige domein waarnaar in de berichten werd verwezen, is afgesloten.

Met een API-sleutel kan software zonder wachtwoord toegang krijgen tot een account; één enkele lekkage kan de houder een route naar binnen geven. "Fondsen die op Passport staan opgeslagen zijn veilig en Passport-hardware is niet gecompromitteerd", aldus Foundation. Het bedrijf voegde eraan toe dat het dag en nacht werkt om precies te achterhalen wat er is gebeurd en dat het een rapport zal publiceren — een document dat naar verwachting opheldering geeft over hoe de sleutel is gelekt en of klantordergegevens zijn geraadpleegd.

Volgens de installatiehandleiding van Foundation is Passport Core een offline apparaat dat wordt gebruikt om sleutels op te slaan en transacties te ondertekenen. Elke transactie wordt opgebouwd door een gekoppelde software wallet en het apparaat keurt deze goed. Dankzij die offline opzet richten campagnes van dit soort zich op de inbox in plaats van op de hardware zelf.

Kopers zeggen dat de berichten hun namen en adressen bevatten

X-gebruiker @crisisdot zei om 23:29 uur ET een bericht te hebben ontvangen van hello@foundation.xyz "waarin stond dat mijn Passport-fondsen in gevaar zijn en dat ik moest overstappen op een nieuwe herstelzin." Dezelfde gebruiker zei dat een site op incident.foundation.xyz ook online was en dat Foundation's "e-mail en DNS gecompromitteerd zijn."

Drie berichten van ontvangers — van @crisisdot, @tayvano_ en @CSBastiat — kwamen binnen tussen 23:29 uur ET en 23:44 uur ET, allemaal voordat Foundation zich uitsprak.

Eén klant zei dat het bericht verwees naar een aankoop midden in 2025 en dat het door spamfilters was gekomen. Dezde koper zei dat de oplichters naar het leek een afleveradres, naam, e-mailadres en aankoopinformatie in handen hadden. Een andere ontvanger zei dat zijn of haar naam, adres en e-mailadres in de e-mail stonden.

Foundation heeft niet gezegd of ordergegevens van klanten zijn geraadpleegd of waar de afzenders de informatie vandaan hebben. Het privacybeleid van het bedrijf stelt dat Foundation verloren seedzinnen of privésleutels niet kan terughalen en u "nooit zal vragen deze prijs te geven." Een bericht dat aanspoort tot overstappen op een nieuwe herstelzin loopt rechtstreeks tegen die richtlijn in, aangezien de herstelzin het gegeven is dat het apparaat nooit hoeft te verlaten.

Trezor in september getroffen door vergelijkbare campagne

Wallet-maker Trezor waarschuwde gebruikers voor een valse "Critical Security Alert" die op 9 september via zijn externe e-mailprovider was verstuurd, aldus Cryptopolitan. Eén ontvanger meldde dat het bericht de DKIM-, SPF- en DMARC-controles doorstond. Trezor nam het domein dat werd gebruikt om het bericht te versturen offline.

Casa-ceo Nick Neuman zei dat BitBox-gebruikers vergelijkbare e-mails leken te ontvangen en dat een gedeelde marketing-e-mailprovider mogelijk is gecompromitteerd. Een lijst met kopers van Trezor was weken eerder gelekt: een inbreuk bij verzendpartner ShipMonk legde de namen, adressen, telefoonnummers, e-mails en ordergegevens van zo'n 80.700 gebruikers bloot. Trezor zei dat er geen apparaten, privésleutels of wallet-backups zijn gecompromitteerd. Samengenomen laten de campagnes van september en oktober zien dat makers van hardware wallets een dreiging bestrijden die klanten bereikt via externe diensten — e-mailbezorging, cloudconfiguratie, verzending — in plaats van via de apparaten zelf.