Advarsel om falske e-poster fra Foundation
Bitcoin-hardware wallet-produsenten Foundation har advart kundene sine om at angripere har sendt falske e-poster som ser ut til å komme fra deres offisielle domener, etter å ha kompromittert Cloudflare API-nøkler. Samtidig opprettholder de at Passport-enheter og lagrede midler forblir sikre.
Sikkerhetsmelding og etterforskning
Ifølge Foundations sikkerhetsmelding den 26. oktober, sporet selskapet de uautoriserte e-postene til en eller flere kompromitterte Cloudflare API-nøkler og tilbakekalte legitimasjonen etter å ha fått kjennskap til hendelsen. Medgründer og administrerende direktør, Zach Herbert, avslørte at angriperne hadde fått tilgang til deler av selskapets backend-infrastruktur gjennom en sårbarhet i en selvhostet applikasjon.
«Midler lagret på Passport er trygge, og Passport-hardware er ikke kompromittert,»
sa selskapet i sin kunngjøring. Imidlertid avslørte uttalelsen ikke hvor mange e-poster som ble sendt, hvor mange kunder som mottok dem, eller om noen fulgte de ondsinnede instruksjonene.
Angripernes metoder
Hendelsen ble kjent etter at kunder mottok mistenkelige meldinger som så ut til å komme fra Foundations legitime e-postinfrastruktur. I motsetning til vanlige phishing-kampanjer som bruker lignende e-postadresser, utnyttet angriperne angivelig tilgang til systemer knyttet til selskapets faktiske domener, noe som gjorde meldingene tilsynelatende autentiske for mottakerne.
Foundation opplyste at de hadde identifisert problemet og fjernet det ondsinnede domenet som ble referert til i e-postene. Selskapet tilbakekalte sine Cloudflare API-nøkler som et umiddelbart sikkerhetstiltak.
Risiko for kundedata
Foundation anerkjente bekymringer om at noen falske meldinger inneholdt kundetelefonnumre eller postadresser. Selskapet mener informasjonen kan ha kommet fra tilgang til sin støttemappe, tidligere lekkede kryptovaluta-kundedatabaser, eller nylige bestillinger behandlet gjennom sin Shopify-butikk.
«Angripere var sannsynligvis i stand til å kompromittere vår kundestøtte-innboks,»
sa Herbert, og la til at de hadde fått muligheten til å distribuere e-poster som så legitime ut. Ifølge Herbert deaktiverte selskapet den uautoriserte e-postaktiviteten innen 10 minutter etter å ha mottatt brukerrapporter.
Fremtidige tiltak og anbefalinger
Foundation fortsetter sin etterforskning og har lovet å publisere en rapport som forklarer hendelsen. Angrepet har hevet bekymringer fordi en melding som ser ut til å komme fra en pålitelig hardware wallet-produsent kan overbevise mottakere om å følge instruksjoner de ellers ville ha stilt spørsmål ved.
Kunder som mottar mistenkelige meldinger bør unngå å følge innebygde lenker, oppgi gjenopprettingsfraser eller koble lommebøkene sine til ukjente applikasjoner. Kommunikasjoner som ser ut til å komme fra offisielle domener bør ikke behandles som bevis på autentisitet.
Enhver som har avslørt en gjenopprettingsfrase bør behandle den tilknyttede lommeboken som kompromittert og, der det er mulig, overføre gjenværende midler til en lommebok generert med en ny gjenopprettingsfrase.
Konklusjon
Foundation har ikke bekreftet at gjenopprettingsfraser ble stjålet under denne hendelsen. Herbert sa at teamet ville fortsette å svare på kundespørsmål mens de undersøkte den mulige eksponeringen av støttemappen, den kompromitterte applikasjonen og kilden til personlig informasjon som vises i de falske e-postene. Selskapet har forpliktet seg til å dele ytterligere detaljer den 27. oktober, med en formell hendelsesrapport som følger når etterforskningen har fastslått hele hendelsesforløpet.
