Warnung vor betrügerischen E-Mails
Der Hersteller von Bitcoin-Hardware-Wallets, Foundation, hat seine Kunden gewarnt, dass Angreifer betrügerische E-Mails versendet haben, die angeblich von seinen offiziellen Domains stammen, nachdem Cloudflare-API-Schlüssel kompromittiert wurden. Das Unternehmen betont jedoch, dass die Passport-Geräte und die darauf gespeicherten Gelder sicher sind.
Sicherheitsankündigung
In einer Sicherheitsankündigung vom 26. Oktober erklärte Foundation, dass die unbefugten E-Mails einem oder mehreren kompromittierten Cloudflare-API-Schlüsseln zugeordnet wurden. Die Zugangsdaten wurden widerrufen, nachdem das Unternehmen von dem Vorfall erfahren hatte. Zach Herbert, Mitbegründer und CEO von Foundation, gab bekannt, dass Angreifer Zugang zu Teilen der Backend-Infrastruktur des Unternehmens erlangt hatten, indem sie eine Schwachstelle in einer selbst gehosteten Anwendung ausnutzten.
„Die auf Passport gespeicherten Gelder sind sicher, und die Passport-Hardware ist nicht kompromittiert“, erklärte das Unternehmen in seiner Ankündigung.
Untersuchung und Bedenken
Die Untersuchung prüft derzeit, ob Kundenkommunikationen und persönliche Informationen offengelegt wurden. Der Vorfall wurde bekannt, nachdem Kunden verdächtige Nachrichten erhalten hatten, die angeblich von Foundations legitimer E-Mail-Infrastruktur stammten. Im Gegensatz zu herkömmlichen Phishing-Kampagnen, die ähnliche E-Mail-Adressen verwenden, haben die Angreifer Berichten zufolge auf Systeme zugegriffen, die mit den tatsächlichen Domains des Unternehmens verbunden sind, wodurch die Nachrichten für die Empfänger authentisch erschienen.
Foundation gab an, das Problem identifiziert und die in den E-Mails erwähnte bösartige Domain entfernt zu haben. Das Unternehmen widerrief seine Cloudflare-API-Schlüssel als sofortige Sicherheitsmaßnahme. Die Erklärung enthüllte jedoch nicht, wie viele E-Mails versendet wurden, wie viele Kunden sie erhalten haben oder ob jemand den betrügerischen Anweisungen gefolgt ist.
Fortlaufende Untersuchung
Foundation setzt seine Untersuchung fort und hat versprochen, einen Bericht zu veröffentlichen, der den Vorfall detailliert erklärt. Herbert gab weitere Informationen über den vermuteten Kompromiss bekannt und erklärte, dass die Angreifer eine Schwachstelle in einer selbst gehosteten Anwendung ausnutzten.
„Angreifer konnten wahrscheinlich unser Kunden-Support-Postfach kompromittieren“, sagte er und fügte hinzu, dass sie die Fähigkeit erlangt hatten, E-Mails zu versenden, die legitim erschienen.
Laut Herbert deaktivierte das Unternehmen die unbefugte E-Mail-Aktivität innerhalb von 10 Minuten nach Erhalt von Benutzerberichten und entfernte den Zugriff der Angreifer auf die betroffenen Systeme. Das Team von Foundation arbeitet aktiv daran. „Tag mich mit Fragen, und ich werde so schnell wie möglich antworten. Wir werden einen offiziellen Bericht teilen, sobald wir alle Details haben. Passport-Geräte sind sicher und geschützt“, so Herbert.
Risiken für Kunden
Er räumte Bedenken ein, dass einige betrügerische Nachrichten Kundentelefonnummern oder Adressen enthalten könnten. Foundation glaubt, dass die Informationen möglicherweise aus dem Zugriff auf sein Support-Postfach, zuvor geleakten Kryptowährungs-Kundendatenbanken oder kürzlich über seinen Shopify-Shop bearbeiteten Bestellungen stammen. Das Unternehmen hat nicht festgestellt, welche Erklärung für die persönlichen Informationen in den einzelnen Nachrichten verantwortlich ist und hat nicht bestätigt, dass es zu einem vollständigen Datenleck seiner Kundendatenbank gekommen ist.
„Es tut mir leid“, schrieb er und versprach, weitere Details und einen offiziellen Bericht zu veröffentlichen, sobald das Unternehmen seine Überprüfung abgeschlossen hat.
Vergleich mit anderen Vorfällen
Der Angriff hat Bedenken ausgelöst, da eine Nachricht, die von einem vertrauenswürdigen Hardware-Wallet-Hersteller zu kommen scheint, die Empfänger dazu bringen kann, Anweisungen zu befolgen, die sie sonst in Frage stellen würden. Passport ist so konzipiert, dass Bitcoin-Private Keys von internetverbundenen Geräten isoliert bleiben. Der Kompromiss der E-Mail-Infrastruktur eines Unternehmens zeigt nicht von sich aus, dass seine Hardware-Wallets oder die darauf gespeicherten Schlüssel kompromittiert wurden.
Kunden von Hardware-Wallets sahen sich im September einer ähnlichen Phishing-Warnung gegenüber, als Trezor und BitBox betrügerische E-Mails nach Problemen mit Drittanbieter-E-Mail-Diensten meldeten. Eine anschließende Untersuchung verfolgte die Phishing-Kampagne auf einen Brevo-Autorisierungsfehler, der 138 Kundenkonten betraf.
Schlussfolgerung
Foundation hat nicht bestätigt, dass Wiederherstellungsphrasen während dieses Vorfalls gestohlen wurden. Herbert sagte, das Team werde weiterhin Kundenfragen beantworten, während es die mögliche Exposition des Support-Postfachs, die kompromittierte Anwendung und die Quelle der in den betrügerischen E-Mails auftauchenden persönlichen Informationen untersucht. Das Unternehmen hat sich verpflichtet, am 27. Oktober weitere Details zu teilen, gefolgt von einem offiziellen Vorfallbericht, sobald seine Untersuchung die vollständige Abfolge der Ereignisse feststellt.
