Foundation räumt Einbruch ein: Phishing an Passport-Kunden

Der Hersteller der Bitcoin-Hardware-Wallet Passport bestätigt, dass Angreifer in Teile seiner Server-Infrastruktur eingedrungen sind und von dort Phishing-Mails im Namen von Foundation verschickt haben. Vermutlich hatten sie auch Zugriff auf das Postfach des Kundendienstes. Die Geräte selbst sind nach Angaben des Unternehmens nicht betroffen.

Damit geraten binnen weniger Tage bei einem weiteren Hardware-Wallet-Hersteller Kundendaten in falsche Hände. Am Freitag hatte Keystone den Abfluss von Lieferadressen aus seinem Webshop bestätigt.

Foundation korrigiert die erste Erklärung binnen zwei Stunden

In der Nacht auf Montag erhielten Passport-Kunden Mails, die von offiziellen Foundation-Adressen zu kommen schienen. Nach Angaben des Bitcoin-Portals Blocktrainer behaupteten sie, ein Zulieferer habe manipulierte Display-Module geliefert und auf betroffenen Geräten würden bereits Bitcoin gestohlen. Ein Link führte auf eine angebliche Rückrufseite, auf der die Empfänger ihre 12 oder 24 Wörter der Wiederherstellungsphrase eingeben sollten.

Um 4:47 Uhr MEZ meldete sich Foundation auf X. Die Mails gingen auf “one or more compromised API keys on Cloudflare” zurück, also auf einen oder mehrere gestohlene Zugangsschlüssel beim Infrastrukturdienst Cloudflare. Alle Schlüssel seien widerrufen, die Betrugsdomain abgeschaltet.

Gut zwei Stunden später, um 7:06 Uhr, ging Firmenchef Zach Herbert weiter. “What we know so far: some of our backend infrastructure was compromised via a vulnerability in a self hosted app”, schrieb er in seinem Beitrag: Angreifer seien über eine Schwachstelle in einer selbst betriebenen Anwendung in Teile der Server-Infrastruktur gelangt. Wahrscheinlich hätten sie auch das Postfach des Kundendienstes übernommen. Binnen zehn Minuten nach den ersten Meldungen von Nutzern habe Foundation den Versand gestoppt und die Eindringlinge aus den Systemen entfernt.

Herbert nennt drei mögliche Quellen für Adressen und Telefonnummern

Einige der Mails enthielten Postanschriften oder Telefonnummern der Empfänger, was sie glaubwürdiger machte. Woher diese Angaben stammen, weiß Foundation noch nicht sicher. Herbert nennt drei mögliche Quellen: das Postfach des Kundendienstes, Daten aus anderen Lecks der jüngsten Zeit, die die Angreifer abgeglichen haben, und möglicherweise Bestellungen im neuen Shopify-Shop des Unternehmens. Laut Blocktrainer erhielten auch Menschen solche Mails, die nie bei Foundation bestellt hatten.

Wie viele Kunden betroffen sind, hat Foundation nicht mitgeteilt.

Für die Bitcoin auf den Geräten ändert der Einbruch nichts, solange niemand seine Wörter herausgibt. “Funds stored on Passport are safe and Passport hardware is not compromised”, schreibt das Unternehmen. Wer seine Wiederherstellungsphrase auf der gefälschten Seite eingegeben hat, sollte sie als verloren betrachten und die Coins sofort auf eine neu erzeugte Wallet übertragen. Echte Hersteller fragen die Wörter nie ab, auch nicht bei einem Rückruf; auf der eigenen Webseite warnt Foundation inzwischen in einem Banner vor den Mails.

Mit einem echt wirkenden Absender hatten Angreifer schon im Oktober Kunden eines anderen Herstellers geködert, als auf dem X-Konto von Coldcard ein Phishing-Beitrag erschien. Wer seine Wallet auch nach solchen Vorfällen auswählt, findet die Geräte im Bitcoin-Wallet-Vergleich.

Weitere Einzelheiten hat Herbert für Dienstag angekündigt, den förmlichen Bericht erst für den Zeitpunkt, an dem alle Fakten auf dem Tisch liegen.