Foundation, компания за аппаратным кошельком Passport для Bitcoin, сообщила, что мошеннические письма, отправленные с её официальных доменов, связаны как минимум с одним утекшим ключом Cloudflare API. Компания отозвала все свои ключи API поздно вечером 25 октября и заявила, что устройства Passport и хранящиеся на них биткоины в безопасности.

«Средства на Passport в безопасности», — говорится в предупреждении компании, опубликованном на X в 23:47 по восточному времени. Спам, который, как казалось, исходил от официальных доменов Foundation, уже распространялся, а вредоносный домен, упомянутый в письмах, был отключен.

Ключ API позволяет программному обеспечению получать доступ к аккаунту без пароля, и одна утечка может дать его обладателю путь внутрь. «Средства, хранящиеся на Passport, в безопасности, оборудование Passport не скомпрометировано», — заявила Foundation. Она добавила, что работает круглосуточно, чтобы точно установить, что произошло, и опубликует отчет — документ, как ожидается, разъяснит, как ключ был раскрыт и был ли получен доступ к информации о заказах клиентов.

Согласно руководству по настройке Foundation, Passport Core — это автономное устройство для хранения ключей и подписания транзакций. Каждая транзакция формируется сопряженным программным кошельком, а устройство её одобряет. Именно эта автономная конструкция объясняет, почему подобные кампании нацелены на почтовый ящик, а не на само оборудование.

Покупатели сообщают, что письма содержали их имена и адреса

Пользователь X @crisisdot сообщил в 23:29 по восточному времени, что получил письмо с адреса hello@foundation.xyz, «в котором говорилось, что мои средства на Passport под угрозой и меня просят перейти на новую фразу восстановления». Тот же пользователь сообщил, что сайт по адресу incident.foundation.xyz также был доступен и что «почта и DNS Foundation скомпрометированы».

Три поста от получателей — от @crisisdot, @tayvano_ и @CSBastiat — появились в период с 23:29 до 23:44 по восточному времени, все до того, как выступила Foundation.

Один клиент сказал, что письмо касалось покупки, совершенной в середине 2025 года, и прошло через спам-фильтры. Тот же покупатель сообщил, что, по всей видимости, мошенники располагали адресом доставки, именем, адресом электронной почты и информацией о покупке. Другой получатель сказал, что его имя, адрес и электронная почта были указаны в письме.

Foundation не сообщила, был ли получен доступ к информации о заказах клиентов и откуда отправители получили эти данные. В её политике конфиденциальности указано, что Foundation не может восстановить утерянные seed-фразы или приватные ключи и «никогда неит вас их раскрыть». Письмо, призывающее перейти на новую фразу восстановления, прямо противоречит этим рекомендациям, поскольку фраза восстановления — это учетные данные, которые никогда не должны покидать устройство.

В сентябре аналогичной кампании подвергся Trezor

Производитель кошельков Trezor предупредил пользователей о поддельном «Critical Security Alert», отправленном через его стороннего почтового провайдера 9 сентября, сообщила Cryptopolitan. Один получатель сообщил, что письмо прошло проверки DKIM, SPF и DMARC. Trezor отключила домен, использовавшийся для отправки.

Генеральный директор Casa Ник Ньюман сказал, что пользователи BitBox, похоже, получали аналогичные письма и что общий провайдер маркетинговой рассылки мог быть скомпрометирован. Список покупателей Trezor утек неделей ранее: в результате взлома у логистического партнера ShipMonk были раскрыты имена, адреса, номера телефонов, электронные почты и данные заказов около 80 700 пользователей. Trezor заявила, что ни устройства, ни приватные ключи, ни резервные копии кошельков скомпрометированы не были. Вместе сентябрьская и октябрьская кампании показывают, что производители аппаратных кошельков сталкиваются с угрозой, которая достигает клиентов через сторонние сервисы — доставку электронной почты, облачную конфигурацию, логистику — а не через сами устройства.