Stiftung warnt vor gefälschten E-Mails nach Kompromittierung von Cloudflare-Schlüsseln

Die Foundation berichtete über gefälschte E-Mails, die nach dem Kompromittieren von Cloudflare-Zugangsschlüsseln möglich wurden, und bestätigte, dass Passport-Hardware-Wallets und die darauf befindlichen Gelder sicher sind. In einer Erklärung vom 26. Oktober verfolgte das Unternehmen unautorisierte E-Mails zu kompromittierten Cloudflare-Schlüsseln zurück und widerrief diese. Mitbegründer und CEO Zach Herbert erklärte, dass Angreifer durch eine Schwachstelle in einer auf den firmeneigenen Servern gehosteten Anwendung Zugang zu einem Teil der Serverinfrastruktur erlangten. Die Untersuchung prüft, ob Support-Anfragen und persönliche Daten offengelegt wurden.

Die E-Mails wirkten echt, da die Angreifer Zugang zu Systemen nutzten, die mit den echten Domains des Unternehmens verbunden sind, nicht zu ähnlichen Adressen. Die Foundation entfernte die bösartige Domain und widerrief die Cloudflare-Schlüssel. "Gelder auf Passport sind sicher, die Hardware ist nicht kompromittiert", hieß es in der Erklärung. Das Unternehmen gab nicht bekannt, wie viele E-Mails gesendet wurden oder wie viele Kunden sie erhielten; es ist auch nicht festgestellt, ob jemand Wiederherstellungsphrasen eingegeben hat.

Herbert vermutete, dass Angreifer das Support-Postfach kompromittiert haben könnten. Unautorisierte Mailings wurden innerhalb von 10 Minuten nach Benutzerberichten deaktiviert. Einige E-Mails enthielten Telefonnummern oder Adressen von Kunden: Daten könnten aus dem Support-Postfach, zuvor geleakten Datenbanken oder Bestellungen über Shopify stammen. Ein vollständiger Bruch der Kundendatenbank ist nicht bestätigt. "Es tut mir sehr leid", schrieb Herbert.

Der Kompromiss der E-Mail-Infrastruktur beweist keinen Bruch von Wallets oder Schlüsseln. Kunden sollten jedoch Links meiden, keine Wiederherstellungsphrasen eingeben und Wallets nicht mit unbekannten Anwendungen verbinden: Eine E-Mail von einer offiziellen Domain ist kein Echtheitsbeweis. Diejenigen, die ihre Wiederherstellungsphrase offengelegt haben, sollten das Wallet als kompromittiert betrachten und Gelder auf ein neues übertragen. Der Diebstahl von Wiederherstellungsphrasen in diesem Vorfall ist nicht bestätigt.

Im September gaben Trezor und BitBox eine ähnliche Warnung nach einer Brevo-Autorisierungsschwachstelle heraus, die 138 Konten betraf; es gibt keine Verbindung zum Angriff auf die Foundation. Am 24. Oktober bestätigte Keystone ein Leck von Namen, Adressen, Kontakten und Kaufdaten.

Das Unternehmen versprach, am 27. Oktober Details bekannt zu geben, gefolgt von einem formellen Bericht nach Abschluss der Untersuchung.