Foundation、Passportウォレットのフィッシングメールは侵害されたAPIキーに由来すると発表

Foundationの顧客は、緊急のPassportリコールを装ったフィッシングメールを受け取った。しかもメールは同社自身のドメインから送信されていた。ウォレットメーカーは侵害されたCloudflare APIキーが原因だと説明するが、受信者は自宅の住所も含まれていたと指摘する。

Passportは、FoundationのBitcoin専用ハードウェアウォレットである。同社の説明はメールがどのように送信されたかを扱うもので、送信者がどのようにしてデバイスの所有者を知ったかには触れていない。

顧客はどのようにして偽のリコールメールを受け取ったのか？

日曜日、メールは「緊急リコール」と表示されたバナーの下に現れた。その内容は、サプライヤーがディスプレイモジュールを改ざんし、攻撃者が影響を受けたデバイスから資金を吸い上げていると主張するものだった。

読者は交換品を待たないよう指示された。代わりに、リンクはfoundation.supportという、FoundationのコンパニオンウォレットアプリEnvoyを模した不正なページへ誘導した。

そのページには空のウォレットと入金ボタンが表示され、どうやら被害者にBitcoinを送らせるための餌だった。

この詐欺は、Bitcoinウォレット利用者の間にある実際の懸念に付け込むものだ。改ざんされたハードウェアウォレットに関する報告は2026年を通じて流れており、そのためサプライチェーンへの警告には重みがある。

同社は月曜日の早い時間にXに回答を投稿した。攻撃者は侵害されたCloudflare APIキーを1つ以上使用しており、その後すべてのキーは無効化されたと述べた。

Foundationはまた、悪意のあるドメインは停止されたと述べている。Passportの資金は安全であり、ハードウェア自体への侵害はないと主張している。

【発表】公式のFoundationドメインから送信されたように見えるスパムメールが送信されています。

当社はこれをCloudflare上の侵害された1つ以上のAPIキーにまで遡って特定し、すでにすべてのAPIキーを無効化しました。

スパムメール内の悪意のあるドメインは停止されました。…

— FOUNDATION (@FoundationHQ) October 26, 2026

Bitcoinウォレットのフィッシング後も、顧客データの疑問は未解決のまま

それでも、多くの顧客が反論し、侵害されたAPIキーでは、攻撃者が氏名、電話番号、郵送先住所を知っていたことを説明できないと主張した。

ある顧客は、送信元が正当なFoundationドメインであるjobs@foundation.xyzのメールを受け取った。その顧客は、メールに氏名と、2年前に購入したウォレットに関連する住所が含まれていたと述べた。

jobs@foundation.xyz（彼らの実際のドメイン）から、2年前に彼らから購入したウォレットが侵害されているというメールが届いた。私のフルネームと住所が入っている。@FoundationHQ これは本物ですか？ @zherbert @sethforprivacy @btcqna pic.twitter.com/YUBQYTGkdY

— blockdyor (@blockdyor) October 26, 2026

Foundationは2022年、第三者リスクを抑えるため、サポートチャットとメールマーケティングツールを自社ホストしていると表明していた。

同じスレッド内で、同社は注文が発送されてから60日後に顧客データが消去されると続けて述べていた。

別のユーザーは、メールが2つのバージョンで送信されたと報告した。顧客には完全な注文詳細が記載されたメッセージが送られ、元求職者には氏名だけが表示されていた。

これまでのところ、Foundationは顧客データベースが侵害されたかどうかを確認していない。完全なレポートをできるだけ早く公開すると述べている。

流出した配送情報は、元の詐欺をはるかに超えて有用であり続ける傾向がある。例えばLedgerの顧客は、後日、偽の手紙を郵便で送られ、それは以前の顧客データ侵害の後だった。

したがって、今回のフィッシング事件はリスクを受信トレイから玄関先へと移すものである。別途、CertiKは暗号資産レンチ攻撃が2026年に過去最高を記録する可能性があると予測している。