Foundation blâme les clés API Cloudflare pour les e-mails de hameçonnage sur Passport

Foundation, le fabricant du portefeuille matériel Bitcoin-only Passport, a déclaré que les e-mails de hameçonnage envoyés aux clients depuis les domaines propres de l’entreprise étaient le résultat de clés API Cloudflare compromises. L’entreprise a annoncé sur X, lundi 26 octobre 2026, qu’elle a révoqué toutes les clés affectées et retiré le domaine malveillant utilisé dans l’arnaque.

Les e-mails de hameçonnage imitent un rappel urgent

Les messages frauduleux sont arrivés dimanche sous un bandeau de rappel urgent. Les e-mails affirmaient qu’un fournisseur avait modifié un module d’affichage sur les appareils Passport et que des attaquants étaient en train de vider les fonds des matériels affectés. Les messages exhortaient les destinataires à ne pas attendre un remplacement et les dirigeaient vers un lien menant à foundation.support, un site factice conçu pour imiter Envoy, l’application de portefeuille compagnon de Foundation.

Selon la source, la page factice affichait un portefeuille vide avec un bouton de dépôt, une tactique destinée à attirer les victimes pour qu’elles envoient du Bitcoin aux attaquants. La campagne de hameçonnage a exploité les inquiétudes croissantes concernant la sécurité de la chaîne d’approvisionnement, alors que des rapports sur des portefeuilles matériels falsifiés ont circulé tout au long de 2026.

L’exposition des données clients soulève des questions

Bien que Foundation ait attribué la violation technique à des clés API Cloudflare compromises, les utilisateurs se sont demandés comment les attaquants avaient obtenu des informations personnelles spécifiques. Plusieurs destinataires ont noté que les e-mails contenaient leurs noms complets, numéros de téléphone et adresses postales, des détails que les clés API volées seules n’expliquent pas.

Un utilisateur, identifié sous le nom de blockdyor sur X, a signalé avoir reçu un e-mail de [email protected], un domaine légitime de Foundation. Le message indiquait que leur portefeuille, acheté il y a deux ans, était compromis et incluait leur nom complet et leur adresse domicile. Un autre utilisateur a signalé que deux versions de l’e-mail circulaient : l’une contenant les détails complets de la commande pour les clients et l’autre ne contenant que des noms pour d’anciens candidats à un emploi.

En 2022, Foundation a déclaré qu’elle hébergeait elle-même ses chats de support et ses outils de marketing par e-mail pour limiter les risques liés aux tiers. L’entreprise a également noté qu’elle supprime les données des clients 60 jours après l’expédition d’une commande. Cependant, Foundation n’a pas précisé si sa base de données clients avait été violée lors de cet incident spécifique. L’entreprise a déclaré qu’elle publierait un rapport complet dès que possible.

Foundation a confirmé que les fonds stockés sur les appareils Passport restent en sécurité et que le matériel lui-même n’est pas compromis. L’incident s’inscrit dans une tendance plus large de fuites de données affectant les fabricants de portefeuilles matériels, les acheteurs de Ledger ayant précédemment reçu de fausses lettres par la poste après des violations antérieures des données clients. CertiK a prédit que les attaques de type crypto wrench pourraient atteindre un niveau record en 2026.