Incident de sécurité chez Foundation
Le fabricant de portefeuilles matériels Bitcoin, Foundation, a averti ses clients que des attaquants avaient envoyé des e-mails frauduleux semblant provenir de ses domaines officiels, suite à la compromission de clés API Cloudflare. La société a assuré que les appareils Passport et les fonds stockés demeurent sécurisés.
Détails de l’incident
Dans une annonce de sécurité publiée le 26 octobre, Foundation a expliqué avoir retracé les e-mails non autorisés à une ou plusieurs clés API Cloudflare compromises et a révoqué ces identifiants dès qu’elle a pris connaissance de l’incident. Zach Herbert, co-fondateur et PDG de la société, a révélé que les attaquants avaient accédé à certaines parties de l’infrastructure backend de l’entreprise en exploitant une vulnérabilité dans une application auto-hébergée.
« Les fonds stockés sur Passport sont en sécurité et le matériel Passport n’est pas compromis »
Foundation a déclaré avoir identifié le problème et supprimé le domaine malveillant mentionné dans les e-mails. Cependant, la déclaration n’a pas précisé combien d’e-mails avaient été envoyés, combien de clients les avaient reçus, ni si quelqu’un avait suivi les instructions malveillantes.
Enquête en cours
La société n’a pas publié le contenu complet de l’e-mail de phishing et n’a pas établi si des utilisateurs avaient saisi des phrases de récupération ou d’autres informations sensibles après avoir reçu les messages. Foundation poursuit son enquête et a promis de publier un rapport détaillant l’incident.
Herbert a fourni d’autres précisions sur la compromission suspectée, expliquant que les attaquants avaient exploité une vulnérabilité dans une application auto-hébergée. « Les attaquants ont probablement pu compromettre notre boîte de réception du support client », a-t-il déclaré, ajoutant qu’ils avaient acquis la capacité d’envoyer des e-mails semblant légitimes.
Selon Herbert, la société a désactivé l’activité d’e-mail non autorisée dans les 10 minutes suivant la réception des rapports des utilisateurs et a supprimé l’accès des attaquants aux systèmes affectés. L’équipe de Foundation travaille activement sur ce sujet.
« Taguez-moi avec toutes les questions et je m’efforcerai de répondre aussi rapidement que possible. Nous partagerons un rapport officiel lorsque nous aurons tous les détails. Les appareils Passport sont sûrs et sécurisés. »
Préoccupations des utilisateurs
Le dirigeant a reconnu des préoccupations selon lesquelles certains messages frauduleux contenaient des numéros de téléphone ou des adresses postales de clients. Foundation pense que ces informations peuvent provenir d’un accès à sa boîte de réception de support, de bases de données de clients de cryptomonnaie précédemment divulguées, ou de commandes récentes traitées via sa boutique Shopify.
La société n’a pas établi quelle explication rend compte des informations personnelles apparaissant dans les messages individuels et n’a pas confirmé une violation complète de sa base de données clients. Herbert a déclaré que l’enquête examinerait l’infrastructure affectée et établirait comment les attaquants avaient eu accès.
« Je suis vraiment désolé »
Il a promis de fournir plus de détails et un rapport formel une fois que la société aura terminé son examen. L’attaque a suscité des inquiétudes, car un message semblant provenir d’un fabricant de portefeuilles matériels de confiance peut persuader les destinataires de suivre des instructions qu’ils remettraient autrement en question.
Conseils de sécurité pour les utilisateurs
Les clients recevant des messages suspects devraient éviter de suivre des liens intégrés, de saisir des phrases de récupération ou de connecter leurs portefeuilles à des applications inconnues. Les communications qui semblent provenir de domaines officiels ne doivent pas être considérées comme une preuve d’authenticité.
Quiconque ayant divulgué une phrase de récupération devrait considérer le portefeuille associé comme compromis et, si possible, transférer les fonds restants vers un portefeuille généré avec une nouvelle phrase de récupération. Foundation n’a pas confirmé que des phrases de récupération avaient été volées lors de cet incident.
Herbert a déclaré que l’équipe continuerait à répondre aux questions des clients tout en enquêtant sur la possible exposition de la boîte de réception de support, l’application compromise et la source des informations personnelles apparaissant dans les e-mails frauduleux. La société s’est engagée à partager d’autres détails le 27 octobre, avec un rapport formel sur l’incident à suivre une fois que son enquête aura établi la séquence complète des événements.
