Foundation: фишинг пришёл с её же доменов

Foundation, производитель биткоин-кошелька Passport, сообщает, что фишинговые письма, якобы пришедшие с её официальных доменов, разослали злоумышленники, воспользовавшиеся скомпрометированными API-ключами Cloudflare и частью бэкенда, пишет Unchained. Компания уверяет, что устройства Passport и средства на них в безопасности. Вот что известно.

Письма выглядели как срочный отзыв

Письма пришли в воскресенье с баннером «отзыв»: якобы поставщик модифицировал модуль дисплея, и злоумышленники опустошают затронутые устройства, пишет BeInCrypto. Ссылка вела на foundation.support — поддельный сайт, имитировавший приложение-компаньон Envoy. По словам получателей, он пытался заставить их вставить фразу восстановления в веб-кошелёк. Поскольку письма приходили с настоящего адреса Foundation, как минимум одна известная получательница, основательница MyCrypto Тейлор Монахан, рассказала, что её письмо не попало в спам.

Объяснение Foundation

Поздно в воскресенье по американскому времени Foundation написала в X, что отследила письма до «одного или нескольких скомпрометированных API-ключей в Cloudflare», отозвала все свои API-ключи и добилась блокировки вредоносного домена. Примерно через два часа CEO Зак Херберт добавил, что часть бэкенд-инфраструктуры взломали через уязвимость в самостоятельно развёрнутом приложении и что злоумышленники, вероятно, получили доступ к ящику службы поддержки. По его словам, команда лишила их возможности отправлять письма в течение 10 минут после сообщений пользователей.

Тревожнее всего — персональные данные

Некоторые письма содержали настоящие имена клиентов, почтовые адреса или номера телефонов. Херберт предположил, что эти данные могли взяться из ящика поддержки, из других недавних криптоутечек или, возможно, из заказов в новом магазине Foundation на Shopify. Сколько клиентов получили письма и потерял ли кто-то средства, компания не сообщила. Это уже второй бренд аппаратных кошельков за последние дни, у которого раскрыты данные клиентов, — после взлома сайта Keystone.

Что делать владельцам Passport

• Никогда не вводите сид-фразу на сайте, в приложении или форме. Ни один настоящий отзыв или поддержка её не просит; см. что такое сид-фраза.
• Игнорируйте ссылки в неожиданных письмах, даже с настоящего адреса компании. Заходите на сайт производителя, набрав адрес вручную.
• Ждите следующих схем по телефону, в сообщениях или по почте: часть адресов теперь известна. Типичные сценарии — в нашем чек-листе против мошенников.
• Если вы уже ввели фразу, считайте кошелёк скомпрометированным и немедленно переведите средства на новый кошелёк с новой фразой.

Что дальше

Херберт пообещал, что Foundation опубликует официальный отчёт, как только получит все детали, и извинился перед клиентами. В блоге компании теперь висит баннер: письма «Your Passport funds are at risk» — мошенничество. Как аппаратные кошельки защищают ключи даже тогда, когда взломаны системы производителя, читайте в гайде что такое аппаратный кошелёк.