Fałszywe e-maile phishingowe dotyczące portfela Bitcoin, podszywające się pod pilne wezwanie do wycofania Passport, trafiły do klientów Foundation z domen firmy. Producent portfela twierdzi, iż winę ponoszą skompromitowane klucze API Cloudflare, jednak odbiorcy informują, iż wiadomości ujawniły również ich adresy domowe.
Foundation produkuje Passport — sprzętowy portfel wyłącznie dla Bitcoin. Jednak wyjaśnienie firmy opisuje tylko, jak doszło do wysyłki e-maili, a nie skąd atakujący znali właścicieli urządzeń.
Jak fałszywe wezwanie do zwrotu trafiło do prawdziwych klientów?
E-maile dotarły w niedzielę z pilnym ostrzeżeniem o wycofaniu produktu. Twierdziły, iż dostawca zmodyfikował moduł wyświetlacza i przez to atakujący kradną środki z urządzeń.
Wiadomość zachęcała, by nie czekać na wymianę sprzętu. Zamiast tego link kierował na foundation.support, fałszywą stronę podszywającą się pod Envoy, aplikację towarzyszącą Foundation.
Na stronie pojawiał się pusty portfel z przyciskiem wpłaty, najwyraźniej by skusić ofiary do wysłania Bitcoin.
Phishing oparty o portfel Bitcoin wykorzystuje prawdziwy strach. W 2026 roku rozprzestrzeniły się doniesienia o manipulowanych portfelach sprzętowych, co sprawia, iż ostrzeżenie przed zagrożeniem w łańcuchu dostaw wydaje się wiarygodne.
Foundation odpowiedziało w poniedziałek rano na X. Według firmy atakujący wykorzystali jeden lub więcej skompromitowanych kluczy API Cloudflare; wszystkie klucze już odwołano.
Zespół informuje, iż usunął również złośliwą domenę. Ponadto Foundation zapewnia, iż środki na Passport są bezpieczne, a sprzęt pozostał nienaruszony.
ANNOUNCEMENT: SPAM EMAILS HAVE BEEN SENT THAT APPEAR TO HAVE COME FROM OFFICIAL FOUNDATION DOMAINS.
We have traced this back to one or more compromised API keys on Cloudflare, and have already revoked all API keys.
The malicious domain in the spam email has been taken down.…
Phishing na portfele Bitcoin zostawia otwarte pytania o dane klientów
Mimo to kilku użytkowników odpowiedziało, iż skradzione klucze API nie tłumaczą, skąd atakujący znali ich imiona, numery telefonów oraz adresy korespondencyjne.
Jeden z użytkowników otrzymał wiadomość z [email protected], czyli prawdziwej domeny Foundation. Twierdzi, iż e-mail zawierał pełne imię, nazwisko oraz adres powiązany z zakupionym portfelem sprzed dwóch lat.
Got an email from [email protected] (their real domain) saying my 2-year-old wallet I got from them is compromised. It has my full name and address. @FoundationHQ is this legit? @zherbert @sethforprivacy @btcqna pic.twitter.com/YUBQYTGkdY
— blockdyor (@blockdyor) October 26, 2026Jeszcze w 2022 roku Foundation twierdziła, iż samodzielnie utrzymuje swoje czaty wsparcia oraz narzędzia do e-mail marketingu, by ograniczyć ryzyko ze strony firm trzecich.
W tej samej dyskusji firma dodała, iż usuwa dane klientów 60 dni po wysyłce zamówienia.
Inny użytkownik poinformował, iż istniały dwie wersje wiadomości. Klienci dostali maile z pełnymi danymi zamówienia, a byli kandydaci do pracy otrzymali tylko imię i nazwisko.
Do tej pory Foundation nie potwierdziła, czy baza klientów została naruszona. Firma zapowiada, iż opublikuje pełny raport tak szybko, jak to możliwe.
Ujawnione dane dostawy często żyją dłużej niż pierwszy scam. Na przykład, kupujący Ledger otrzymywali fałszywe listy pocztowe po wcześniejszych wyciekach danych klientów.
Dlatego ten phishing na portfel Bitcoin przenosi zagrożenie z maila pod drzwi domu. Tymczasem CertiK przewiduje, iż ataki z fizycznym wymuszeniem na użytkownikach krypto mogą pobić rekord w 2026 roku.
BeInCrypto Polska - Czy twój portfel Passport jest bezpieczny? Co Foundation mówi o e-mailach phishingowych
