Foundation: фішинг надійшов з її ж доменів

Foundation, виробник біткоїн-гаманця Passport, повідомляє, що фішингові листи, які нібито надійшли з її офіційних доменів, розіслали зловмисники, які скористалися скомпрометованими API-ключами Cloudflare та частиною бекенду, пише Unchained. Компанія запевняє, що пристрої Passport і кошти на них у безпеці. Ось що відомо.

Листи мали вигляд термінового відкликання

Листи прийшли в неділю з банером «відкликання»: мовляв, постачальник модифікував модуль дисплея, і зловмисники спустошують уражені пристрої, пише BeInCrypto. Посилання вело на foundation.support — підробний сайт, що імітував застосунок-компаньйон Envoy. За словами одержувачів, він намагався змусити їх вставити фразу відновлення у вебгаманець. Оскільки листи надходили зі справжньої адреси Foundation, щонайменше одна відома одержувачка, засновниця MyCrypto Тейлор Монаган, розповіла, що її лист не потрапив у спам.

Пояснення Foundation

Пізно в неділю за американським часом Foundation написала в X, що відстежила листи до «одного чи кількох скомпрометованих API-ключів у Cloudflare», відкликала всі свої API-ключі й домоглася блокування шкідливого домену. Приблизно за дві години CEO Зак Герберт додав, що частину бекенд-інфраструктури зламали через вразливість у самостійно розгорнутому застосунку і що зловмисники, ймовірно, отримали доступ до скриньки служби підтримки. За його словами, команда позбавила їх змоги надсилати листи протягом 10 хвилин після повідомлень користувачів.

Найтривожніше — персональні дані

Деякі листи містили справжні імена клієнтів, поштові адреси або номери телефонів. Герберт припустив, що ці дані могли походити зі скриньки підтримки, з інших нещодавніх криптовитоків або, можливо, із замовлень у новому магазині Foundation на Shopify. Скільки клієнтів отримали листи і чи хтось утратив кошти, компанія не повідомила. Це вже другий бренд апаратних гаманців за останні дні, у якого розкрито дані клієнтів, — після зламу сайту Keystone.

Що робити власникам Passport

• Ніколи не вводьте сід-фразу на сайті, у застосунку чи формі. Жодне справжнє відкликання чи підтримка її не просить; див. що таке сід-фраза.
• Ігноруйте посилання в несподіваних листах, навіть зі справжньої адреси компанії. Заходьте на сайт виробника, ввівши адресу вручну.
• Чекайте на наступні схеми телефоном, у повідомленнях чи поштою, адже частина адрес тепер відома. Типові сценарії — у нашому чеклисті проти шахраїв.
• Якщо ви вже ввели фразу, вважайте гаманець скомпрометованим і негайно переведіть кошти в новий гаманець із новою фразою.

Що далі

Герберт пообіцяв, що Foundation опублікує офіційний звіт, щойно матиме всі деталі, і вибачився перед клієнтами. У блозі компанії тепер висить банер: листи «Your Passport funds are at risk» — шахрайство. Як апаратні гаманці захищають ключі навіть тоді, коли зламано системи виробника, читайте в гайді що таке апаратний гаманець.