Foundation, firma stojąca za sprzęgowym portfelem Bitcoin Passport, poinformowała, że fałszywe e-maile wysłane z jej oficjalnych domen prześledzono do co najmniej jednego wycieczonego klucza API Cloudflare. Firma unieważniła wszystkie klucze API późnym wieczorem 25 października i zapewniła, że urządzenia Passport oraz przechowywane na nich bitcoiny są bezpieczne.

"Środki przechowywane na Passportie są bezpieczne" — przekazała firma w ostrzeżeniu opublikowanym na X o 23:47 czasu wschodnioamerykańskiego. Spam pozornie pochodzący z oficjalnych domen Foundation krążył już od jakiegoś czasu, a złośliwa domena wskazana w wiadomościach została zamknięta.

Klucz API pozwala oprogramowaniu na dostęp do konta bez hasła — pojedynczy wyciek może dać posiadaczowi drogę wejścia. "Środki przechowywane na Passportie są bezpieczne, a sprzęt Passport nie został naruszony" — oświadczyła Foundation. Dodała, że pracuje całą dobę, aby ustalić dokładny przebieg zdarzeń, i opublikuje raport — dokument ma wyjaśnić, w jaki sposób klucz został ujawniony i czy dane zamówień klientów zostały ujawnione.

Zgodnie z przewodnikiem konfiguracji Foundation, Passport Core to urządzenie offline służące do przechowywania kluczy i podpisywania transakcji. Każdą transakcję buduje sparowane oprogramowanie portfela, a urządzenie ją zatwierdza. To właśnie konstrukcja offline sprawia, że kampanie tego typu celują w skrzynkę odbiorczą, a nie w sam sprzęt.

Kupujący twierdzą, że wiadomości zawierały ich imiona, nazwiska i adresy

Użytkownik X @crisisdot poinformował o 23:29 czasu wschodnioamerykańskiego, że otrzymał wiadomość z adresu hello@foundation.xyz "informującą, że moje środki na Passportie są zagrożone i nakłaniającą do przeniesienia ich na nową frazę odzyskiwania". Ten sam użytkownik podał, że strona incident.foundation.xyz również była aktywna i że "e-mail oraz DNS Foundation zostały naruszone".

Trzy wpisy od odbiorców — od @crisisdot, @tayvano_ i @CSBastiat — pojawiły się między 23:29 a 23:44 czasu wschodnioamerykańskiego, wszystkie zanim Foundation się odezwała.

Jeden z klientów podał, że wiadomość dotyczyła zakupu z połowy 2025 roku i przeszła przez filtry antyspamowe. Ten sam kupujący stwierdził, że oszuści posiadali najwyraźniej adres wysyłki, imię i nazwisko, adres e-mail oraz informacje o zakupie. Inny odbiorca podał, że jego imię i nazwisko, adres i e-mail znajdowały się w wiadomości.

Foundation nie potwierdziła, czy dane zamówień klientów zostały ujawnione ani skąd nadawcy pozyskali te informacje. Jej polityka prywatności stanowi, że Foundation nie może odzyskać utraconych fraz seed ani kluczy prywatnych i "nigdy nie poprosi o ich ujawnienie". Wiadomość nakłaniająca do przejścia na nową frazę odzyskiwania stoi w bezpośredniej sprzeczności z tymi wytycznymi, ponieważ fraza odzyskiwania to dane uwierzytelniające, które nigdy nie powinny opuszczać urządzenia.

Trezor zaatakowany podobną kampanią we wrześniu

Producent portfeli Trezor ostrzegł użytkowników przed fałszywym "Critical Security Alert" wysłanym 9 września za pośrednictwem zewnętrznego dostawcy usług e-mail — poinformował Cryptopolitan. Jeden z odbiorców podał, że wiadomość przeszła weryfikację DKIM, SPF i DMARC. Trezor zamknął domenę używaną do jej wysyłki.

CEO Casa Nick Neuman powiedział, że użytkownicy BitBoxa również otrzymywali podobne e-maile i że możliwe było naruszenie wspólnego dostawcy usług e-mail marketingowych. Lista kupujących Trezora wyciekła kilka tygodni wcześniej: wyciek danych u partnera wysyłkowego ShipMonk ujawnił imiona i nazwiska, adresy, numery telefonów, adresy e-mail oraz dane zamówień około 80 700 użytkowników. Trezor zapewnił, że żadne urządzenia, klucze prywatne ani kopie zapasowe portfeli nie zostały naruszone. Wszystko to razem pokazuje, że we wrześniowej i październikowej kampanii producenci portfeli sprzętowych mierzą się z zagrożeniem, które dociera do klientów za pośrednictwem usług zewnętrznych — dostarczania e-maili, konfiguracji chmurowej, wysyłki — a nie przez same urządzenia.