Foundation предупредила о поддельных письмах после компрометации ключей Cloudflare

Компания Foundation сообщила о поддельных письмах, ставших возможными после компрометации ключей доступа Cloudflare, подтвердив, что аппаратные кошельки Passport и средства на них в безопасности. По заявлению от 26 октября, компания проследила несанкционированные письма до скомпрометированных ключей Cloudflare и отозвала их. Сооснователь и генеральный директор Зак Херберт сообщил, что атакующие получили доступ к части серверной инфраструктуры через уязвимость в приложении, размещенном на собственных серверах компании. Расследование выясняет, были ли раскрыты обращения в поддержку и персональные данные.

Письма выглядели подлинными, поскольку злоумышленники использовали доступ к системам, связанным с настоящими доменами компании, а не похожие адреса. Foundation удалила вредоносный домен и отозвала ключи Cloudflare. «Средства на Passport в безопасности, аппаратное обеспечение не скомпрометировано», – говорится в заявлении. Сколько писем отправлено и сколько клиентов их получило, компания не раскрыла; не установлено и то, вводил ли кто-то фразы восстановления.

Херберт допустил, что атакующие смогли скомпрометировать почтовый ящик поддержки. Несанкционированную рассылку отключили в течение 10 минут после сообщений пользователей. Часть писем содержала телефоны или адреса клиентов: данные могли прийти из почты поддержки, ранее утекших баз или заказов через Shopify. Полный взлом клиентской базы не подтвержден. «Мне очень жаль», – написал Херберт.

Компрометация почтовой инфраструктуры не доказывает взлом кошельков или ключей. Но клиентам следует избегать ссылок, не вводить фразы восстановления и не подключать кошельки к незнакомым приложениям: письмо с официального домена не является доказательством подлинности. Раскрывшим фразу восстановления стоит считать кошелек скомпрометированным и перевести средства на новый. Кража фраз восстановления в этом инциденте не подтверждена.

В сентябре похожее предупреждение выпустили Trezor и BitBox после уязвимости авторизации Brevo, затронувшей 138 аккаунтов; связи с атакой на Foundation нет. Keystone 24 октября подтвердила утечку имен, адресов, контактов и данных о покупках.

Детали компания обещала раскрыть 27 октября, формальный отчет – после завершения расследования.