Утечка ключей Cloudflare позволила мошенникам рассылать письма от имени Foundation

От имени доменов Foundation были отправлены мошеннические письма. Компания, производящая аппаратный кошелек Bitcoin Passport, отследила их как минимум до одного утеченного ключа API Cloudflare.

Поздно вечером 25 октября она аннулировала все ключи API и заявила, что устройства Passport и биткоины, которые они хранят, находятся в безопасности.

По словам компании, средства в Passport в безопасности, сообщено в 11:47 п.m. ET

В 23:47 по восточному времени Foundation опубликовала предупреждение в X. Ранее уже распространялся спам, который, казалось, исходил с официальных доменов Foundation, а вредоносный домен, использованный в рассылке, был заблокирован.

Software can use an API key to access an account without a password. With just one leak, whoever has it can get in.

“Funds stored on Passport are safe and Passport hardware is not compromised,” the company said. It said it was working round the clock to get to the bottom of exactly what happened and would publish a report.

В инструкции по настройке Фонда указано, что Passport Core — это офлайн-устройство для хранения ключей и подписания транзакций. Каждая транзакция формируется парным программным кошельком, а устройство лишь одобряет её.

Passport buyers say the messages carried their names and addresses

Пользователь X @crisisdot сообщил в 23:29 по восточному времени, что получил сообщение от [email protected] «с предупреждением о риске для средств моего Passport и просьбой перенести их на новую фразу восстановления».

The same user said a site at incident.foundation.xyz was also live and that Foundation’s “email and DNS are compromised.” Three posts from recipients came in between 11:29 p.m. ET and 11:44 p.m. ET.

All of them were before Foundation spoke.

Один покупатель заявил, что сообщение касалось покупки, совершённой в середине 2025 года, и прошло через фильтры спама.

Тот же покупатель отметил, что мошенники, похоже, имели доступ к адресу доставки, имени, электронной почте и данным о покупке. Другой получатель сообщил, что его имя, адрес и электронная почта были указаны в письме.

Фонд не сообщил, были ли получены данные заказов клиентов или откуда отправители получили эту информацию. В его политике конфиденциальности указано, что Фонд не может восстановить утерянные сид-фразы или приватные ключи и «никогда не будет просить вас раскрыть их».

В сентябре аналогичный инцидент произошел с Trezor. Производитель кошельков предупредил пользователей о поддельном «Критическом уведомлении безопасности», отправленном через стороннего поставщика email-услуг 9 сентября, Cryptopolitan.

One recipient reported that the message passed DKIM, SPF and DMARC checks. Trezor took down the domain used to send it.

Casa CEO Nick Neuman said BitBox users seemed to be receiving similar emails and that a shared marketing email provider may have been compromised.

Список покупателей Trezor был утечен за несколько недель до этого. Из-за взлома партнера по доставке ShipMonk были раскрыты имена, адреса, номера телефонов, адреса электронной почты и данные заказов примерно 80 700 пользователей.

Trezor said that no devices, private keys or wallet backups were compromised.