Phishing-Angriff auf Bitcoin-Wallets: Foundation erklärt Sicherheitsvorfall
Eine Phishing-Kampagne, die sich als dringender Rückruf für Bitcoin-Wallets ausgab, hat Kunden von Foundation erreicht. Die E-Mails stammten von den Domains des Unternehmens selbst. Foundation macht kompromittierte Cloudflare-API-Schlüssel für den Vorfall verantwortlich, doch Empfänger berichten, dass auch ihre Wohnadressen offengelegt wurden.
Foundation ist der Hersteller von Passport, einem Hardware-Wallet, das ausschließlich für Bitcoin entwickelt wurde. Die Erklärung des Unternehmens beschreibt, wie die E-Mails versendet wurden, jedoch nicht, wie die Angreifer die Besitzer der Geräte identifizieren konnten.
Wie erreichte der gefälschte Rückruf echte Kunden?
Die E-Mails, die am Sonntag versendet wurden, trugen die Überschrift eines dringenden Rückrufs. Sie behaupteten, ein Lieferant habe ein Display-Modul modifiziert und Angreifer würden Gelder von betroffenen Geräten abziehen.
Die Nachricht forderte die Empfänger auf, nicht auf einen Ersatz zu warten. Stattdessen leitete ein Link zu einer gefälschten Website, die Envoy, die Begleit-App von Foundation, imitierte.
Auf der Seite wurde ein leeres Wallet mit einer Einzahlungsoption angezeigt, offenbar um Opfer dazu zu verleiten, Bitcoin zu senden.
Der Phishing-Angriff nutzt die reale Angst vor manipulierten Hardware-Wallets aus. Berichte über solche Vorfälle haben sich im Jahr 2026 gehäuft, was eine Warnung in der Lieferkette plausibel erscheinen lässt.
Foundation reagierte am frühen Montag auf X. Laut dem Unternehmen missbrauchten Angreifer einen oder mehrere kompromittierte Cloudflare-API-Schlüssel, die inzwischen alle widerrufen wurden.
Das Team hat die bösartige Domain entfernt und betont, dass die Gelder auf Passport sicher sind und die Hardware selbst nicht kompromittiert wurde.
Offene Fragen zur Kundendatensicherheit bei Bitcoin-Wallet-Phishing
Trotzdem äußerten mehrere Nutzer Zweifel, dass gestohlene API-Schlüssel erklären könnten, wie Angreifer an ihre Namen, Telefonnummern und Adressen gelangten.
Ein Nutzer erhielt die E-Mail von [email protected], der echten Domain von Foundation. Die Nachricht enthielt seinen vollständigen Namen und die Adresse, die mit einem vor zwei Jahren gekauften Wallet verknüpft ist.
Bereits 2022 erklärte Foundation, dass es seine Support-Chats und das E-Mail-Marketing-Tool selbst hostet, um Risiken durch Dritte zu minimieren. Zudem löscht das Unternehmen Kundendaten 60 Tage nach dem Versand einer Bestellung.
Ein weiterer Nutzer berichtete, dass zwei Versionen der E-Mail im Umlauf waren. Kunden erhielten Nachrichten mit vollständigen Bestelldetails, während ehemalige Bewerber nur ihre Namen sahen.
Bisher hat Foundation nicht bestätigt, ob die Kundendatenbank kompromittiert wurde. Das Unternehmen plant, so bald wie möglich einen vollständigen Bericht zu veröffentlichen.
Lecks von Lieferdaten überdauern oft den ersten Betrug. So erhielten Ledger-Käufer gefälschte Briefe per Post nach früheren Datenlecks. Dieser Phishing-Vorfall bei Bitcoin-Wallets verlagert die Bedrohung vom Posteingang zur Haustür. Gleichzeitig prognostiziert CertiK, dass sogenannte "Krypto-Schraubenschlüssel-Angriffe" im Jahr 2026 einen Höchststand erreichen könnten.
