Des clés Cloudflare divulguées permettent aux escrocs d'envoyer des e-mails depuis le domaine de la Foundation
- La fondation a retracé les e-mails frauduleux envoyés depuis ses domaines officiels jusqu’à une ou plusieurs clés API Cloudflare compromises.
- L’entreprise a révoqué toutes les clés API et a indiqué que le domaine malveillant utilisé dans les e-mails avait été désactivé.
- Les destinataires ont signalé que les messages contenaient leurs noms, adresses et achats précédents sur Passport.
Des e-mails frauduleux ont été envoyés depuis les domaines de Foundation. L’entreprise qui a conçu le portefeuille matériel Bitcoin Passport les a attribuées à au moins une clé API Cloudflare compromise.
Elle a révoqué toutes les clés API tard dans la nuit du 25 octobre et a affirmé que les appareils Passport ainsi que les bitcoins qu’ils contiennent sont en sécurité.
Les fonds Passport sont en sécurité, a déclaré l’entreprise à 11:47 p.m. ET
À 23 h 47, heure de l’Est, Foundation a publié un avertissement sur X. Des spams semblant provenir de domaines officiels de la Fondation circulaient déjà, et le domaine malveillant qu’ils contenaient a été désactivé.
Un logiciel peut utiliser une clé API pour accéder à un compte sans mot de passe. Une seule fuite suffit à permettre à son détenteur d’y accéder.
« Les fonds stockés sur Passport sont en sécurité et le matériel Passport n’a pas été compromis », a déclaré l’entreprise. Elle a indiqué travailler sans relâche pour comprendre exactement ce qui s’est produit et publiera un rapport.
Le guide de configuration de la Foundation indique que Passport Core est un appareil hors ligne utilisé pour stocker les clés et signer les transactions. Chaque transaction est créée par un portefeuille logiciel apparié, et l’appareil l’approuve.
Les acheteurs de Passport indiquent que les messages contenaient leurs noms et adresses
L’utilisateur X @crisisdot a déclaré à 23 h 29 (HE) avoir reçu un message provenant de [email protected] « indiquant que mes fonds Passport étaient en danger et me demandant de les transférer vers une nouvelle phrase de récupération ».
Le même utilisateur a signalé que le site incident.foundation.xyz était également actif et que les « e-mails et DNS de la Fondation étaient compromis ». Trois messages de destinataires ont été reçus entre 23 h 29 et 23 h 44, heure de l’Est.
Tous ces messages ont été envoyés avant que Foundation ne s’exprime.
Un client a indiqué que le message concernait un achat effectué au milieu de l’année 2025 et qu’il avait réussi à contourner les filtres anti-spam.
Le même acheteur a précisé que les escrocs semblaient disposer d’une adresse de livraison, d’un nom, d’une adresse e-mail et des informations d’achat. Un autre destinataire a signalé que son nom, son adresse et son e-mail figuraient dans l’e-mail.
La Foundation n’a pas précisé si les informations relatives aux commandes des clients avaient été compromises ni d’où les expéditeurs tenaient ces données. Sa politique de confidentialité précise que la Foundation ne peut pas récupérer les phrases de récupération ou les clés privées perdues et « ne vous demandera jamais de les divulguer ».
Trezor a subi un incident similaire en septembre. Le fabricant de portefeuilles a mis en garde les utilisateurs contre une fausse « Alerte de sécurité critique » envoyée via son fournisseur d’e-mails tiers le 9 septembre, Cryptopolitan a rapporté.
Un destinataire a signalé que le message avait passé avec succès les vérifications DKIM, SPF et DMARC. Trezor a retiré le domaine utilisé pour l’envoyer.
Nick Neuman, PDG de Casa, a déclaré que les utilisateurs de BitBox semblaient recevoir des e-mails similaires et qu’un fournisseur d’e-mails marketing partagé aurait pu être compromis.
Une liste des acheteurs de Trezor avait été divulguée quelques semaines plus tôt. En raison de la violation chez le partenaire logistique ShipMonk, les noms, adresses, numéros de téléphone, e-mails et données de commande d’environ 80 700 utilisateurs ont été exposés.
Trezor a précisé qu’aucun appareil, aucune clé privée ni aucune sauvegarde de portefeuille n’avait été compromis.
Ne vous contentez pas de lire les actualités crypto. Comprenez-les. Abonnez-vous à notre newsletter. C'est gratuit.
FAQ
Qu’est-ce qui a provoqué les e-mails de phishing de la Fondation ?
Une ou plusieurs clés API Cloudflare compromises ont permis aux attaquants d'envoyer des courriels de spam semblant provenir des domaines officiels de Foundation, a indiqué l'entreprise.
Les portefeuilles matériels Passport ou le Bitcoin stocké sont-ils menacés ?
Non. Foundation a affirmé que les fonds stockés sur Passport sont en sécurité et que le matériel Passport n'a pas été compromis.
Que fait Foundation à propos de cette violation ?
Foundation a révoqué toutes les clés API et a indiqué que le domaine malveillant utilisé dans les courriels de spam a été désactivé.
Avertissement. Les informations fournies ne constituent pas des conseils en matière de trading. Cryptopolitan.com décline toute responsabilité concernant les investissements réalisés sur la base des informations fournies sur cette page. Nous recommandons vivement une recherche indépendante et/ou une consultation avec un professionnel qualifié avant de prendre toute décision d'investissement.
Randa Moses
Randa Moses est rédactrice et journaliste chez Cryptopolitan, couvrant la technologie, l'IA, la robotique, la crypto, les arnaques et les piratages. Elle évolue dans l'espace crypto depuis 2017. Elle a occupé des postes chez Forward Protocol, AmaZix et Cryptosomniac. Randa détient un diplôme en génie électrique et électronique de l'Université de Bradford.
