Компания Foundation, разработчик аппаратного кошелька Passport, подтвердила, что фишинговые электронные письма, отправленные с её официальных доменов, были отслежены до скомпрометированных ключей API Cloudflare.

Также было заявлено, что записи о клиентах находились в системах, к которым имели доступ злоумышленники, но на данный момент не обнаружено никаких доказательств того, что устройства Passport или их закрытые ключи были затронуты.

Что показало расследование на данный момент

Вчера компания впервые публично сообщила о происходящем в сообщении в социальной сети X, заявив, что пользователям были отправлены спам-письма, и, по всей видимости, они исходили с официальных доменов Foundation.

Компания также отметила, что выявила, что проблема связана как минимум с одним скомпрометированным ключом API в Cloudflare. После этого все ключи API были отозваны, а вредоносный домен в спам-письмах был заблокирован.

Примечательно, что всего несколько дней назад Foundation предупредила своих подписчиков в социальной сети о том, что их учетные записи электронной почты, скорее всего, являются «самой большой уязвимостью» с точки зрения их цифровой безопасности. Компания рекомендовала пользователям защищать свои электронные письма надежными и уникальными паролями, а также использовать разные адреса для важных учетных записей и, по возможности, использовать аппаратные ключи или двухфакторную аутентификацию.

В новом сообщении об инциденте, опубликованном сегодня утром, компания сообщила, что выявила более 23 000 попыток фишинговых атак в своих системах электронной почты, при этом около 19 000 сообщений были отправлены через Mailgun и чуть более 1500 – через Google Workspace. По их данным, некоторые адреса получали несколько сообщений, в то время как другие попытки не удались или были остановлены до доставки.

Согласно первоначальному расследованию Foundation, записи о заказах из сервиса, который компания использовала в прошлом, WooCommerce, сохранились после миграции базы данных, хотя записи о клиентах должны были быть удалены через 60 дней после отправки. Очевидно, что процесс обновил новые таблицы, отображаемые на панели управления магазином, в то время как копии остались в старых таблицах, и в то же время сохранились дополнительные данные в записях о возвратах, незавершенных заказах и формах обратной связи.

Однако 5000 адресов, получивших фишинговые письма, не были обнаружены в записях WooCommerce компании Foundation или в записях платформы, на которую она перешла, Shopify. Для обеспечения безопасности компания-разработчик кошельков заявила, что обновляет ключи во всей своей системе, даже в тех, в которых не уверена, что они были скомпрометированы. Компания также хранит в автономном режиме копию устаревших данных WooCommerce для использования следователями, но удалит их навсегда после завершения расследования.

«Мы не обнаружили никаких доказательств того, что в результате этого инцидента были скомпрометированы устройства Passport или закрытые ключи, которые они содержат», – заявила компания.

Другие компании-разработчики кошельков сталкивались с аналогичными утечками.

За последние несколько месяцев несколько компаний, занимающихся разработкой криптокошельков, стали жертвами утечек данных. Началось всё в августе с компании ShipMonk, поставщика кошельков Trezor, в результате утечки данных пострадовала информация более чем 67 000 пользователей кошелька, включая их имена, города и адреса электронной почты.

В октябре исследователи, занимающиеся анализом блокчейна, заявили, что у пользователей Ledger, которые приобрели аппаратные кошельки у авторизованного дистрибьютора в Юго-Восточной Азии, компании CryptoBilis, могли быть украдены криптовалюты на сумму до 80 миллионов долларов. По крайней мере, в одном из пострадавших кошельков было обнаружено несанкционированное вредоносное ПО.

А всего за день до того, как компания Foundation сообщила о произошедшем, Keystone Wallet, ещё один крупный поставщик, заявила о собственной проблеме с безопасностью. По словам компании, 20 октября несанкционированные лица получили доступ к её официальному веб-сайту и получили информацию о доставке заказов клиентов, такую как адреса доставки и приобретённые товары. Однако компания заявила, что пароли кошельков и приватные ключи не были скомпрометированы. Keystone также добавила, что банковская информация и данные платежных карт её пользователей также находятся в безопасности.