Злоумышленники получили доступ к информации, хранящейся в старых базах данных WooCommerce.

Компания опровергла информацию о компрометации физических устройств или приватных ключей.

Компания Foundation, американская компания, производящая аппаратный кошелек для биткоина (BTC) Passport и операционную систему KeyOS, сообщила об отправке более 23 000 фишинговых электронных писем, направленных на ее пользователей.

Злоумышленники использовали достоверную личную информацию клиентов, полученную из неактивных записей компании, чтобы придать мошенничеству правдоподобность и попытаться получить доступ к средствам жертв.

Реклама

Инцидент начался ранним утром 26 октября 2026 года, когда многочисленные клиенты получили электронные письма с темой "Ваши средства в Passport находятся под угрозой".

Сообщения, отправленные с легитимного домена компании и подписанные от имени генерального директора, Зака Герберта, предупреждали о предполагаемой неисправности в модуле дисплея устройства.

Для решения этой "проблемы" жертвам предлагалось ввести свою фразу восстановления на поддельном веб-сайте, имитирующем внешний вид приложения Envoy, являющегося дополнительным программным обеспечением компании.

Согласно официальному заявлению Foundation, было выявлено 19 057 сообщений, отправленных через Mailgun, и еще 1 503 сообщения через Google Workspace.

Внутреннее расследование показало, что личные данные, использованные злоумышленниками, были получены из старых записей о покупках, возвратах и незавершенных заказах пользователей, которые не завершили свои транзакции.

До мая 2026 года интернет-магазин Foundation работал на платформе WooCommerce и имел настройку для автоматического скрытия информации о клиентах через шестьдесят дней после отправки.

Однако, в процессе различных миграций, заказы копировались в новые таблицы, оставляя нетронутые копии в старых таблицах. Система скрытия работала только для новых таблиц, которые были видны в панели администратора компании, в то время как исходная информация оставалась доступной в базах данных, к которым получили доступ мошенники.

Кроме того, компания предупредила, что информация о заказах, обработанных в Shopify с мая, также могла быть скомпрометирована, поскольку инструмент для автоматического удаления данных на этой новой платформе находился в стадии разработки.

Реклама

До установления этой причины, компания связывала отправку электронных писем с компрометацией API-ключей Cloudflare, в то время как Герберт упомянул об уязвимости в приложении для бронирования под названием Cal.com, которая, предположительно, позволила получить первоначальный доступ к почтовому ящику технической поддержки.

После того, как были остановлены отправки электронных писем и отключены устаревшие сервисы, которые подверглись взлому, компания Foundation подчеркнула, что нет никаких доказательств того, что физические устройства Passport или личные ключи клиентов были скомпрометированы.

Злоумышленники полагаются на то, что жертва добровольно предоставит свои секретные фразы. Те, кто ввел свою фразу восстановления на вредоносной ссылке, должны немедленно перевести свои биткоины в новый кошелек, созданный на безопасном устройстве, в то время как компания готовит публикацию подробного технического отчета об инциденте безопасности.

Этот случай происходит на фоне масштабной волны атак на индустрию биткоина, криптовалюты и компьютерные системы в целом. Инструменты искусственного интеллекта облегчают эксплуатацию уязвимостей.

РЕКЛАМА