Skip to content
Blockchain Posts

exploit

Foundation : les e-mails de phishing Passport partent de clés API Cloudflare compromises

Foundation attribue une vague de phishing « Urgent recall notice » visant les acheteurs Passport à une ou plusieurs clés API Cloudflare compromises. Toutes révoquées, matériel et fonds non affectés.

par 5 min de lecture
exploitbitcoinfoundationpassportsecurite

Le fabricant du hardware wallet Passport, Foundation, a reconnu le 26 octobre 2026 qu'une vague d'e-mails de phishing partis depuis ses propres domaines apparents avait été envoyée via une ou plusieurs clés API Cloudflare compromises. L'ensemble des clés a été révoqué, le domaine malveillant pointé dans les messages a été fermé, et un post-mortem est annoncé. Les lures ont été diffusés dans la nuit du dimanche 25 au lundi 26 octobre ; Foundation a publié son premier message sur X moins d'une heure après les premiers signalements sur son propre forum communautaire.

La déclaration de Foundation

Le message, titré « Spam emails have been sent that appear to have come from official Foundation domains », impute l'envoi à une compromission en amont dans la stack e-mail de Foundation :

We traced this back to one or more compromised API keys on Cloudflare, and have already revoked all API keys.

Côté matériel :

Funds stored on Passport are safe and Passport hardware is not compromised.

La page foundation.xyz affiche désormais un bandeau d'alerte : « Emails claiming 'Your Passport funds are at risk' are a phishing scam. » Pas de post d'incident daté publié à ce stade — Foundation en promet un.

L'appât

L'objet de l'e-mail, confirmé par le forum, Journal du Coin et The Defiant, est « Urgent recall notice ». Le corps du message prétend qu'un défaut d'écran du Passport pourrait faire fuiter des fonds et invite le destinataire à cliquer vers une page qui propose de « créer un wallet ou un vault » — un formulaire de récolte de phrase de récupération. Foundation indique que le domaine attaquant a été mis hors ligne.

L'attaque vise le point de rupture classique des wallets à seed : amener l'utilisateur à saisir sa phrase ailleurs que sur son appareil. Le Passport lui-même n'est pas touché ; il n'est que le prétexte à la récolte de credentials.

Les données qui semblent avoir fuité

Le périmètre n'est pas encore confirmé par Foundation. Les signalements du forum font apparaître dans les e-mails de phishing :

  • Le prénom
  • L'adresse e-mail
  • L'adresse postale — pour au moins un utilisateur (Robert_Andersson), l'adresse de facturation plutôt que l'adresse de livraison, ce qui pointe vers la brique paiements/billing de la stack commerce de Foundation, et non vers la logistique
  • Le numéro de téléphone

Un ciblage précis sur l'écosystème Passport, avec ces champs, suffit à faire passer le message pour légitime au premier coup d'œil. Foundation n'a pas communiqué de nombre d'enregistrements, de source de données ni de fenêtre de rétention. Un utilisateur du forum (jxcxvx) demande d'ailleurs pourquoi ces données semblent encore accessibles au-delà des 60 jours de rétention annoncés par Foundation. Pas de réponse officielle à ce stade.

Attribution

Pas d'acteur nommé. Aucune composante on-chain ou wallet-level : il s'agit d'une compromission de credentials en amont de la stack Foundation, utilisée pour envoyer un phishing depuis des domaines qui s'affichent comme ceux de Foundation. Toute attribution avant le post-mortem relèverait de la spéculation.

Réflexes immédiats

  1. Supprimer tout e-mail « Urgent recall notice » reçu de Foundation. Aucune procédure légitime de récupération ou de rappel matériel ne passe par la saisie de la seed sur un site web.
  2. Ne jamais saisir une phrase de récupération dans un formulaire. La récupération Passport se fait sur l'appareil.
  3. Si vous avez cliqué sur un lien et saisi une seed, transférer immédiatement les fonds vers un nouveau wallet depuis une machine saine et considérer la seed comme compromise.
  4. Suivre les mises à jour sur le bandeau foundation.xyz et le thread forum, pas via d'éventuels e-mails non sollicités.

Contexte

Les stacks e-mail et marketing tiers sont depuis plusieurs cycles la voie d'accès préférée pour récolter des listes de phishing orientées hardware wallet : fuite de données clients Ledger en 2020, incident Mailchimp / Trezor en 2022, et plusieurs vagues depuis. La mécanique ne change pas : les acheteurs de hardware wallet sont une cible à fort signal, leurs données d'expédition et de facturation vivent souvent dans des plateformes commerce que le fabricant n'opère pas lui-même, et la compromission d'un credential d'envoi transforme le domaine du fabricant en véhicule de livraison.

La réaction de Foundation — reconnaissance publique dans l'heure suivant les premiers signalements, clés révoquées, domaine attaquant fermé — est la version rapide de ce schéma. La vraie inconnue reste la fenêtre et le vecteur de compromission des clés Cloudflare elles-mêmes, que le post-mortem devra documenter.

L'épisode suit de peu la faille RBF corrigée par Electrum 4.8.3 : deux incidents en semaine sur deux surfaces différentes de l'écosystème Bitcoin, tous deux côté utilisateur et pas côté protocole.

Sources :

Articles liés