Foundation cho biết các email lừa đảo Passport Wallet bắt nguồn từ các khóa API bị xâm phạm

Khách hàng của Foundation nhận được các email lừa đảo được ngụy trang thành thông báo triệu hồi Passport khẩn cấp, và các email này đến từ chính tên miền của công ty. Nhà sản xuất ví cho biết nguyên nhân là các khóa Cloudflare API bị xâm phạm, nhưng người nhận chỉ ra rằng địa chỉ nhà của họ cũng được đưa vào email.

Passport là ví phần cứng chỉ hỗ trợ Bitcoin của Foundation. Lời giải thích của công ty đề cập đến cách các email được gửi đi, chứ không phải cách người gửi biết được những người nào sở hữu các thiết bị này.

Làm thế nào khách hàng nhận được email triệu hồi giả?

Vào Chủ nhật, các email xuất hiện dưới một biểu ngữ ghi "triệu hồi khẩn cấp". Chúng khẳng định rằng một nhà cung cấp đã thay đổi mô-đun màn hình và những kẻ tấn công đang rút tiền ra khỏi các thiết bị bị ảnh hưởng.

Người đọc được yêu cầu không chờ đợi thiết bị thay thế. Thay vào đó, một liên kết dẫn đến foundation.support, một trang lừa đảo được mô phỏng theo Envoy, ứng dụng ví đồng hành của Foundation.

Trang này hiển thị một ví trống và một nút nạp tiền, dường như là mồi nhử để nạn nhân gửi Bitcoin.

Trò lừa đảo này khai thác một mối lo thực sự của người dùng ví Bitcoin. Các báo cáo về ví phần cứng bị can thiệp đã lan truyền suốt năm 2026, vì vậy một cảnh báo về chuỗi cung ứng có sức nặng.

Công ty đã đăng phản hồi của mình trên X vào sáng thứ Hai. Công ty cho biết những kẻ tấn công đã sử dụng một hoặc nhiều khóa Cloudflare API bị xâm phạm và mọi khóa đã bị thu hồi kể từ đó.

Foundation cũng cho biết tên miền độc hại đã bị gỡ xuống. Công ty khẳng định rằng số tiền trong Passport vẫn an toàn và không có sự xâm phạm nào ảnh hưởng đến bản thân phần cứng.

THÔNG BÁO: CÁC EMAIL RÁC CÓ VẺ NHƯ XUẤT PHÁT TỪ CÁC TÊN MIỀN CHÍNH THỨC CỦA FOUNDATION ĐÃ ĐƯỢC GỬI ĐI.

Chúng tôi đã truy ra nguồn gốc từ một hoặc nhiều khóa API bị xâm phạm trên Cloudflare và đã thu hồi toàn bộ khóa API.

Tên miền độc hại trong email rác đã bị gỡ xuống.…

— FOUNDATION (@FoundationHQ) October 26, 2026

Câu hỏi về dữ liệu khách hàng vẫn bỏ ngỏ sau vụ lừa đảo ví Bitcoin

Tuy nhiên, một số khách hàng đã phản bác, cho rằng các khóa API bị xâm phạm không thể giải thích việc những kẻ tấn công biết được tên, số điện thoại và địa chỉ gửi thư của họ.

Một khách hàng nhận được email có địa chỉ người gửi là jobs@foundation.xyz, một tên miền hợp pháp của Foundation. Khách hàng này cho biết email bao gồm họ tên đầy đủ và địa chỉ gắn với một chiếc ví được mua hai năm trước.

Tôi nhận được email từ jobs@foundation.xyz (tên miền thật của họ) nói rằng chiếc ví 2 năm tuổi tôi có được từ họ đang bị xâm phạm. Email có đầy đủ họ tên và địa chỉ của tôi. @FoundationHQ cái này có phải thật không? @zherbert @sethforprivacy @btcqna pic.twitter.com/YUBQYTGkdY

— blockdyor (@blockdyor) October 26, 2026

Foundation đã tuyên bố vào năm 2022 rằng công ty tự lưu trữ các cuộc trò chuyện hỗ trợ và công cụ tiếp thị qua email nhằm hạn chế rủi ro từ bên thứ ba.

Trong cùng chuỗi bài đăng đó, công ty nói tiếp rằng dữ liệu khách hàng bị xóa 60 ngày sau khi đơn hàng được gửi đi.

Một người dùng khác cho biết email đã được gửi dưới hai phiên bản. Khách hàng nhận được email với đầy đủ chi tiết đơn hàng, còn những người từng ứng tuyển việc làm chỉ thấy tên của họ.

Cho đến nay, Foundation vẫn chưa xác nhận liệu cơ sở dữ liệu khách hàng của mình có bị xâm nhập hay không. Công ty cho biết một báo cáo đầy đủ sẽ được công bố càng sớm càng tốt.

Các chi tiết giao hàng bị rò rỉ thường vẫn hữu dụng rất lâu sau trò lừa đảo ban đầu. Chẳng hạn, khách hàng của Ledger sau đó đã nhận được thư giả qua bưu điện sau các vụ rò rỉ dữ liệu khách hàng trước đó.

Do đó, sự cố lừa đảo này đã chuyển rủi ro từ hộp thư đến trước cửa nhà. Riêng biệt, CertiK dự báo các vụ tấn công bằng cờ lê tiền mã hóa có thể đạt mức cao kỷ lục trong năm 2026.