Cloudflare鍵の流出でFoundationドメインから詐欺メール

Foundationのドメインから詐欺メールが送信されていました。Bitcoinハードウェアウォレット「Passport」を開発した同社は、これらを少なくとも1つの漏洩したCloudflare APIキーに特定しました。

同社は10月25日深夜にすべてのAPIキーを取り消し、Passportデバイスおよびそこに保管されているBitcoinは安全だと述べました。

同社は、東部標準時間（ET）11:47時点で、Passportの資金は安全だと発表しました。

米国東部時間午後11時47分、FoundationはX（旧Twitter）に警告を投稿しました。公式のFoundationドメインから送信されたように見えるスパムが既に拡散しており、その中に含まれていた悪意のあるドメインはシャットダウンされました。

ソフトウェアはAPIキーを使用してパスワードなしでアカウントにアクセスできます。キーが漏洩するだけで、それを入手した誰でもログインできてしまいます。

「パスポートに保管された資金は安全であり、パスポートのハードウェアが侵害されることはありません」と同社は述べた。また、何が起きたのかを解明するために昼夜を問わず作業を進めており、報告書を公開すると発表した。

Foundationのセットアップガイドによると、Passport Coreはキーを保存しトランザクションに署名するためのオフラインデバイスです。各トランザクションはペアリングされたソフトウェアウォレットによって構築され、デバイスがそれを承認します。

パスポート購入者によると、メッセージには氏名と住所が含まれていたという

Xユーザー@crisisdotは東部標準時午後11時29分に、[email protected]から「Passportの資金が危険にさらされているため、新しいリカバリーフレーズへ移動するよう」求めるメッセージを受け取ったと述べました。

同じユーザーは、incident.foundation.xyzというサイトも稼働していたこと、そしてFoundationの「メールとDNSが侵害されている」ことを指摘しました。受信者からの投稿は、米国東部時間午後11時29分から午後11時44分の間に3件寄せられました。

それらはすべて、Foundationが声明を出す前のものでした。

ある顧客は、このメッセージが2025年半ばの購入に関するものであり、スパムフィルターを通過したと語りました。

同じ購入者は、詐欺師が配送先住所、氏名、メールアドレス、および購入情報を把握していたように見えたと話しました。別の受信者は、自分の氏名、住所、メールアドレスがメールに記載されていたと述べています。

Foundationは顧客の注文情報がアクセスされたかどうか、または送信者が情報をどこで入手したかについては明らかにしていません。そのプライバシーポリシーでは、Foundationは失われたシードフレーズや秘密鍵を取得することはできず、「それらを開示することを決して求めない」と明記されています。

Trezorも9月に同様の被害を受けました。ウォレットメーカーは、9月9日に第三者のメールプロバイダーを通じて送信された偽の「重要セキュリティアラート」についてユーザーに警告し、Cryptopolitanが報じました。

ある受信者は、メッセージがDKIM、SPF、DMARCのチェックを通過したと報告しました。Trezorは、そのメッセージを送信するために使用されたドメインを削除しました。

CasaのCEOであるNick Neuman氏は、BitBoxユーザーも同様のメールを受信しているようだと述べ、共有マーケティング用メールプロバイダーが侵害された可能性があると示唆しました。

Trezorの購入者リストが数週間前に漏洩していました。配送パートナーであるShipMonkでの侵害により、約8万700人のユーザーの名前、住所、電話番号、メールアドレス、注文データが暴露されました。

Trezorは、デバイス、秘密鍵、ウォレットのバックアップは侵害されていないと述べています。