유출된 클라우드플레어 키로 사기범들이 재단 도메인서 이메일 발송

파운데이션 도메인에서 사기성 이메일이 발송되었습니다. Passport 비트코인 하드웨어 지갑을 제작한 회사는 이를 최소 하나의 유출된 Cloudflare API 키로 추적했습니다.

회사는 10월 25일 밤 늦게 모든 API 키를 무효화하며, Passport 기기 및 보유 중인 비트코인은 안전하다고 밝혔습니다.

회사는 11:47 ET(미국 동부 시간) 기준 Passport 자금이 안전하다고 밝혔습니다.

미국 동부시간 밤 11시 47분, Foundation은 X(구 트위터)에 경고를 게시했습니다. 공식 Foundation 도메인에서 발송된 것으로 보이는 스팸이 이미 유포되고 있었고, 해당 스팸에 포함된 악성 도메인은 차단되었습니다.

소프트웨어는 비밀번호 없이 API 키를 사용하여 계정에 접근할 수 있습니다. 키가 단 한 번 유출되더라도 이를 확보한 사람은 언제든지 계정에 침입할 수 있습니다.

회사는 "Passport에 저장된 자금은 안전하며 Passport 하드웨어는 침해되지 않았습니다"라고 밝혔습니다. 또한 회사는 정확한 사고 경위를 파악하기 위해 밤낮없이 작업 중이며, 결과를 담은 보고서를 공개할 것이라고 전했습니다.

Foundation의 설정 가이드에 따르면 Passport Core는 키를 저장하고 거래에 서명하는 오프라인 기기입니다. 각 거래는 페어링된 소프트웨어 지갑에서 생성되며, 기기가 이를 승인합니다.

Passport 구매자들은 자신이 받은 메시지에 자신의 이름과 주소가 기재되어 있다고 말했습니다.

X 사용자 @crisisdot은 미국 동부 시간 밤 11시 29분경 [email protected]로부터 "내 Passport 자금이 위험에 처해 있으니 새로운 복구 문구로 이동하라"는 내용의 메시지를 받았다고 밝혔습니다.

동일한 사용자는 incident.foundation.xyz라는 사이트도 활성화되어 있었으며, Foundation의 "이메일과 DNS가 침해되었다"고 주장했습니다. 미국 동부시간 밤 11시 29분부터 11시 44분 사이에는 세 편의 수신자 게시물이 올라왔습니다.

모든 게시물은 Foundation이 공식 입장을 발표하기 전에 이루어졌습니다.

한 고객은 해당 메시지가 2025년 중반의 구매 건과 관련되어 있으며 스팸 필터를 통과했다고 말했습니다.

동일한 구매자는 사기꾼들이 배송 주소, 이름, 이메일 주소 및 구매 정보를 확보한 것처럼 보였다고 전했습니다. 다른 수령자는 자신의 이름, 주소, 이메일이 이메일에 포함되어 있었다고 밝혔습니다.

Foundation은 고객 주문 정보가 유출되었는지, 또는 발신자들이 정보를 어디에서 얻었는지 명시하지 않았습니다. Foundation의 개인정보 보호 정책에 따르면 Foundation은 분실된 시드 문구나 개인 키를 복원할 수 없으며 "절대 사용자에게 이를 공개하라고 요청하지 않습니다."

트레저도 9월에 비슷한 타격을 입었습니다. 지갑 제조사는 3자 이메일 공급자를 통해 9월 9일에 발송된 가짜 '중요 보안 경고'에 대해 사용자를 경고했으며, 크립토폴리탄이 보도했습니다.

한 수신자는 해당 메시지가 DKIM, SPF, DMARC 검증을 모두 통과했다고 보고했습니다. Trezor는 해당 메시지 발송에 사용된 도메인을 제거했습니다.

Casa의 CEO Nick Neuman은 BitBox 사용자들도 유사한 이메일을 받고 있으며, 공동 마케팅 이메일 제공업체가 침해되었을 가능성이 있다고 언급했습니다.

트레저 구매자 목록이 몇 주 전에 유출되었습니다. 배송 파트너인 ShipMonk의 침해 사고로 약 80,700명의 사용자 이름, 주소, 전화번호, 이메일 및 주문 데이터가 노출되었습니다.

Trezor는 어떤 장치나 개인 키, 지갑 백업도 침해되지 않았다고 밝혔습니다.