Foundation, компания-разработчик аппаратных кошельков Passport, уведомила клиентов о фишинговой рассылке: злоумышленники разослали электронные письма с официальных доменов компании.
Причиной инцидента стала компрометация API‑ключей хостинг‑провайдера Cloudflare. В отличие от стандартного фишинга, когда используются поддельные email‑адреса, в этом случае неизвестные получили доступ к системам, связанным с реальными доменами Foundation.
Сооснователь и гендиректор Foundation Зак Герберт (Zach Herbert) пояснил, что серверная инфраструктура была скомпрометирована из‑за уязвимости в одном из приложений компании. В Foundation предполагают, что злоумышленники могли получить почтовые адреса клиентов из ранее слитых баз данных либо из информации о недавних заказах, оформленных через магазин на платформе Shopify.
Foundation заявила, что вредоносный домен, упоминавшийся в фишинговых письмах, заблокирован, а API‑ключи Cloudflare аннулированы. Компания пресекла несанкционированную рассылку в течение 10 минут после получения сообщений от пользователей, закрыв злоумышленникам доступ к своим системам.
Сейчас команда Foundation изучает, был ли получен доступ к переписке со службой поддержки и персональным данным клиентов. Производитель Passport заверил, что аппаратные кошельки и хранящиеся на них средства находятся в безопасности: приватные ключи изолированы от подключённых к интернету устройств, поэтому компрометация почтовой инфраструктуры не означает взлома кошельков или кражи ключей.
При этом владельцы кошельков могут лишиться криптоактивов, если раскроют сид‑фразу через фейковые сайты или приложения. Foundation не уточнила количество разосланных фишинговых писем, не раскрыла их содержание и не сообщила, вводили ли пользователи свои сид‑фразы и другую конфиденциальную информацию после получения сообщений. Компания пообещала опубликовать подробный отчёт об инциденте.
В сентябре компания‑производитель аппаратных кошельков Trezor также сообщала о хакерах, взломавших систему поставщика email‑услуг: злоумышленники рассылали фишинговые письма с официального адреса электронной почты, пытаясь напугать пользователей якобы обнаруженной в кошельках Trezor серьёзной уязвимостью и заставить их перейти по подозрительной ссылке.