BTC
ETH
USDT
BNB
XRP
SOL
TRX
ZEC
DOGE
XMR
ADA
BCH
LTC
GRAM
DASH
Компания Foundation, разработчик аппаратного кошелька passport wallet, признала утечку данных своих клиентов. Виновником оказались скомпрометированные API-ключи Cloudflare, через которые злоумышленники разослали тысячи фишинговых писем якобы от официальных доменов компании. Сами устройства passport wallet и приватные ключи пользователей, по заявлению Foundation, затронуты не были.
Что произошло с passport wallet и откуда взялся фишинг
О проблеме компания сообщила вчера в своем аккаунте на платформе X, объяснив пользователям, что с официальных доменов Foundation массово рассылался спам. Расследование быстро привело к как минимум одному скомпрометированному API-ключу Cloudflare. После обнаружения этого факта Foundation отозвала все ключи доступа и отключила вредоносный домен, на который вели ссылки в фишинговых письмах.
Ирония в том, что буквально за несколько дней до инцидента Foundation предупреждала подписчиков о том, что их почтовые ящики - это "самое слабое звено" в цифровой безопасности. Компания советовала использовать уникальные сложные пароли, разные адреса для важных сервисов и аппаратные ключи или passkeys там, где это возможно. Как показала практика, компании стоило прислушаться к собственному совету чуть внимательнее, когда речь зашла о защите собственной инфраструктуры.
Масштаб утечки: более 23 тысяч фишинговых писем
В свежем обновлении, опубликованном уже сегодня утром, Foundation сообщила более конкретные цифры. Всего через её почтовые системы прошло свыше 23 000 попыток фишинговой рассылки, из них около 19 000 писем ушли через Mailgun и чуть больше 1 500 - через Google Workspace. Некоторые адреса получали по несколько писем подряд, а часть рассылок была заблокирована до доставки.
Такой объем сразу наводит на мысль, что речь идет не о точечной атаке на отдельных пользователей, а о попытке охватить максимально широкую базу клиентов, купивших когда-либо passport wallet. Это делает ситуацию особенно неприятной - даже если конкретный человек никогда не открывал подозрительное письмо, его адрес мог оказаться в утекшей базе.
Почему старые данные клиентов passport wallet вообще сохранились
Самая любопытная часть истории - в том, откуда у злоумышленников вообще взялись email-адреса. По данным предварительного расследования Foundation, записи о заказах из сервиса WooCommerce, которым компания пользовалась раньше, пережили миграцию базы данных, хотя по внутренней политике клиентские записи должны были удаляться через 60 дней после отправки заказа.
Оказалось, что процесс миграции обновлял только новые таблицы, которые отображались в панели управления магазином, а копии данных оставались нетронутыми в старых таблицах. Дополнительно личная информация сохранялась в записях о возвратах, брошенных корзинах и формах обратной связи - то есть в местах, о которых редко думают при аудите безопасности, но которые отлично подходят для накопления цифрового мусора с чужими email-адресами.
При этом около 5 000 адресов, получивших фишинговые письма, вообще не нашлись ни в архивах WooCommerce, ни в данных Shopify, на который компания впоследствии перешла. Это значит, что утечка могла затронуть данные из источника, который Foundation еще не идентифицировала полностью.
Что сделала компания и чего она пока не нашла
На фоне этого Foundation начала ротацию ключей по всей своей системе, включая те, в компрометации которых нет полной уверенности. Старую копию данных WooCommerce компания временно сохраняет в офлайне для нужд расследования, но обещает удалить её навсегда после завершения проверки.
Главный вопрос для владельцев устройств - затронуты ли сами кошельки и приватные ключи. Здесь компания настроена оптимистично.
Мы не нашли доказательств того, что этот инцидент скомпрометировал устройства Passport или приватные ключи, которые они хранят.
Формально это хорошая новость: сами семена восстановления (seed phrases) живут офлайн на аппаратном устройстве и физически не могли утечь через email-сервер. Но история с миграцией WooCommerce показывает, что даже у производителей аппаратных кошельков гигиена данных может оставлять желать лучшего - а для пользователя passport wallet это повод лишний раз проверить, не пришли ли на его адрес подозрительные письма со ссылками на обновление прошивки или "срочную верификацию" устройства.
Производители кошельков теряют данные клиентов одна за другой
Foundation далеко не первая и явно не последняя в этом ряду. Ещё в августе провайдер Trezor, компания ShipMonk, допустила утечку данных более 67 000 пользователей, включая имена, города и email-адреса. В октябре на блокчейн-аналитиков вышла информация о том, что держатели устройств Ledger, купленных у авторизованного реселлера CryptoBilis в Юго-Восточной Азии, могли потерять до 80 миллионов долларов в криптовалюте - по крайней мере один кошелек содержал несанкционированный аппаратный имплант.
А буквально за день до заявления Foundation о своей проблеме сообщил и другой крупный производитель, Keystone Wallet. По его данным, 20 октября посторонние получили доступ к официальному сайту компании и забрали адреса доставки и информацию о заказанных продуктах. Пароли и приватные ключи, как утверждает Keystone, затронуты не были, как и банковские данные пользователей.
Похожие темы недавно поднимал и один из экспертов по безопасности, предупреждая об усилении атак на криптовалютную инфраструктуру с применением ИИ - подробнее об этом можно прочитать в материале про угрозы для биткоина со стороны автоматизированных атак. Череда утечек у разных производителей показывает, что проблема не в конкретном бренде, а в самой модели хранения клиентских данных у компаний, которые продают аппаратные кошельки.
Что делать владельцам passport wallet прямо сейчас
Если вы когда-либо покупали passport wallet напрямую у Foundation, стоит проверить почту на предмет подозрительных писем за последние недели и не переходить по ссылкам, которые просят "подтвердить" seed-фразу или установить обновление прошивки вне официального сайта. Любое письмо с просьбой ввести приватный ключ или сид-фразу - это стопроцентный фишинг, независимо от того, насколько официально оно выглядит.
Полезная привычка после любой новости об утечке данных - лишний раз перепроверять адреса получателей при переводах криптовалюты, особенно между разными сетями, где риск подмены адреса особенно велик. О том, как это делать правильно, подробно разобрано в материале о проверке переводов USDC и USDT между сетями. В случае с passport wallet устройства пока остаются безопасными, но сама история лишний раз напоминает, что даже производители аппаратных кошельков не застрахованы от утечек на уровне обычной клиентской базы данных.
