Фишинговые письма, маскирующиеся под срочный отзыв кошельков Passport, были отправлены клиентам компании Foundation с использованием собственных доменов компании. Производитель кошельков обвиняет в произошедшем скомпрометированные ключи API Cloudflare, однако получатели сообщений утверждают, что письма также раскрыли их домашние адреса.

Компания Foundation разрабатывает Passport, аппаратный кошелек, предназначенный только для работы с биткоинами. Однако, объяснение компании касается только того, как письма были отправлены, а не того, как злоумышленники узнали, кто владеет этими устройствами.

Как поддельный отзыв достиг реальных клиентов?

Письма были отправлены в воскресенье с указанием срочности отзыва. В них утверждалось, что поставщик изменил модуль дисплея и что злоумышленники выводят средства с затронутых устройств.

В сообщении читателям предлагалось не ждать замены. Вместо этого, ссылка перенаправляла их на сайт foundation.support, поддельный сайт, имитирующий приложение Envoy, являющееся спутником кошелька Foundation.

На странице отображался пустой кошелек с кнопкой "пополнить", очевидно, чтобы заманить жертв в отправку биткоинов.

Этот фишинговый трюк с кошельком для биткоинов эксплуатирует реальный страх. Сообщения о поврежденных аппаратных кошельках распространились в течение 2026 года, что делает предупреждение о проблемах в цепочке поставок правдоподобным.

Компания Foundation отреагировала в понедельник утром в социальной сети X. По словам компании, злоумышленники использовали один или несколько скомпрометированных ключей API Cloudflare, и с тех пор все ключи были отозваны.

Команда также заявила, что заблокировала вредоносный домен. Кроме того, Foundation утверждает, что средства на кошельках Passport находятся в безопасности, и сам аппаратный модуль не был скомпрометирован.

ОБЪЯВЛЕНИЕ: БЫЛИ ОТПРАВЛЕНЫ СПАМ-ПИСЬМА, КОТОРЫЕ, СУДЕЯ ПО ВСЕМУ, ПРИШЛИ С ОФИЦИАЛЬНЫХ ДОМЕНОВ FOUNDATION.

Мы выяснили, что это произошло из-за одного или нескольких скомпрометированных ключей API в Cloudflare, и мы уже отозвали все ключи API.

Вредоносный домен, указанный в спам-письме, был заблокирован.…

— FOUNDATION (@FoundationHQ) 26 октября 2026 г.

Фишинговая атака на кошельки для биткоинов оставляет открытым вопрос о безопасности данных клиентов

Тем не менее, несколько пользователей ответили, что украденные ключи API не могут объяснить, как злоумышленники узнали их имена, номера телефонов и почтовые адреса.

Один пользователь получил письмо с адреса [email protected], настоящего домена компании Foundation. Пользователь сообщил, что письмо содержало его полное имя и адрес, привязанный к кошельку, приобретенному два года назад.

Получил письмо с адреса [email protected] (их настоящий домен), в котором говорится, что мой кошелек, приобретенный два года назад, скомпрометирован. В нем указано мое полное имя и адрес. @FoundationHQ это правда? @zherbert @sethforprivacy @btcqna pic.twitter.com/YUBQYTGkdY

— blockdyor (@blockdyor) 26 октября 2026 г.

В 2022 году компания Foundation заявила, что самостоятельно размещает свои сервисы поддержки и инструменты email-маркетинга, чтобы минимизировать риски, связанные с использованием сторонних сервисов.

В том же сообщении компания добавила, что удаляет данные клиентов через 60 дней после отправки заказа.

Другой пользователь сообщил, что циркулировали две версии электронного письма. Клиенты получали сообщения с полной информацией о заказе, в то время как бывшие кандидаты на работу видели только свои имена.

На данный момент компания Foundation не сообщила, была ли скомпрометирована ее база данных клиентов. Компания заявила, что опубликует полный отчет как можно скорее.

Утечка данных о доставке часто имеет последствия, выходящие за рамки первоначального мошенничества. Например, покупатели устройств Ledger получали поддельные письма по почте после предыдущих утечек данных клиентов.

В результате, этот случай фишинга, связанный с биткоин-кошельками, переносит угрозу из электронной почты к дверному проему. Тем временем, по прогнозам CertiK, количество атак на криптовалютные проекты, так называемых "крипто-атак", может достичь рекордного уровня в 2026 году.