Пользователи Passport стали жертвами фишинговых писем.

Компания Foundation пресекла фишинговую атаку, направленную против ее собственных клиентов, в начале понедельника. В сообщении в X компания подтвердила, что спам-письма были отправлены с официальных доменов компании, и что причиной взлома стали один или несколько скомпрометированных ключей API Cloudflare. В своем сообщении в X компания прямо заявила, что спам-письма, по всей видимости, были отправлены с официальных доменов Foundation, а затем перечислила предпринятые меры: все ключи API были отозваны, а вредоносный домен, указанный в спаме, был заблокирован. Компания также добавила, что средства, хранящиеся на Passport, ее аппаратном кошельке, предназначенном только для Bitcoin, находятся в безопасности, и что сам аппаратный кошелек не был скомпрометирован. Passport хранит ключи, необходимые для совершения операций с криптовалютой, в автономном режиме, поэтому сообщение о компрометации устройства напрямую затрагивает это предположение. Письма были получены в воскресенье, 25 октября, и содержали срочное уведомление об отзыве. В них утверждалось, что поставщик изменил модуль дисплея и что злоумышленники выводят средства с затронутых устройств, и в них призывалось не ждать замены. Вложенная ссылка вела на сайт foundation.support, поддельный сайт, имитирующий Envoy, приложение-компаньон для кошелька Foundation. На этой странице отображался пустой кошелек с кнопкой "пополнить", созданный для того, чтобы заставить посетителей отправлять Bitcoin (BTC) на адрес, контролируемый злоумышленниками, часто криптовалюту, которую владельцы покупали для долгосрочного хранения. История, представленная в письме, была выбрана таким образом, чтобы казаться правдоподобной. Сообщения о модифицированных аппаратных кошельках циркулировали в течение 2026 года, что делало предупреждение о проблемах в цепочке поставок, якобы исходящее от производителя, более убедительным. Компания Foundation создает Passport как устройство, предназначенное только для одной криптовалюты, в соответствии с принципами максимализма в отношении Bitcoin, и ее клиенты принадлежат к группе пользователей, которые сами контролируют свои средства в более широкой экосистеме Bitcoin. Именно на эту аудиторию и была направлена фишинговая атака, чтобы вызвать страх. Пользователи, подобные этим, воспринимают уведомление об отзыве как прямую угрозу своим сбережениям, а не как обычный спам. Уведомление было опубликовано утром после того, как письма были отправлены покупателям.

Вопрос о данных клиентов остается без ответа.

Информация об отозванных ключах объясняет, как была отправлена электронная почта. Однако она не объясняет, как отправитель узнал, кому принадлежит аккаунт Passport. Несколько получателей ответили на объявление, заявив, что украденные ключи API не могут объяснить, как личные данные попали в сообщения: имена, номера телефонов и домашние адреса. Один пользователь сообщил, что электронное письмо пришло с адреса [email protected], который является настоящим доменом компании Foundation, и содержало его полное имя вместе с почтовым адресом, связанным с кошельком, приобретенным два года назад. Другой пользователь сообщил, что циркулировали две версии письма: клиенты получали сообщения с полной информацией о заказе, а бывшие соискатели вакансий видели только свои имена. Собственная история компании Foundation еще больше усугубляет ситуацию. В 2022 году компания заявила в своем аккаунте в X, что самостоятельно размещает свои чаты поддержки и инструменты email-маркетинга, чтобы снизить риски, связанные с участием третьих сторон, и добавила в том же сообщении, что данные клиентов удаляются через 60 дней после отправки заказа. Оба этих утверждения сейчас находятся в центре открытого вопроса, поскольку электронные письма, отправленные в воскресенье, содержали информацию о доставке, связанную с заказами, сделанными много лет назад. Компания Foundation не сообщила, была ли взломана ее база данных клиентов. Компания заявила, что опубликует полный отчет как можно скорее. Этот инцидент имеет значение не только для одной кампании. После предыдущих утечек данных клиентов, покупатели устройств Ledger позже получали поддельные письма по почте, что перенесло угрозу из электронной почты прямо к входной двери. Компания CertiK прогнозирует, что атаки, включающие физическое принуждение владельцев криптовалют, могут достичь рекордного уровня в 2026 году, и список домашних адресов, связанных с владельцами аппаратных кошельков, является целевым перечнем для таких преступлений, независимо от того, является ли владелец крупным инвестором в криптовалюту или обычным покупателем.