Avviso di Sicurezza dalla Foundation
Il produttore di portafogli hardware Bitcoin, la Foundation, ha avvertito i clienti che aggressori hanno inviato email fraudolente che sembravano provenire dai suoi domini ufficiali, dopo aver compromesso le chiavi API di Cloudflare. L’azienda ha rassicurato che i dispositivi Passport e i fondi memorizzati rimangono sicuri.
Dettagli dell’Incidente
Secondo l’annuncio di sicurezza del 26 ottobre, la Foundation ha rintracciato le email non autorizzate a una o più chiavi API di Cloudflare compromesse e ha revocato le credenziali dopo aver appreso dell’incidente. Il co-fondatore e CEO, Zach Herbert, ha rivelato che gli aggressori avevano ottenuto accesso a parti dell’infrastruttura backend dell’azienda attraverso una vulnerabilità in un’applicazione auto-ospitata.
“I fondi memorizzati su Passport sono al sicuro e l’hardware Passport non è compromesso”
Tuttavia, la dichiarazione non ha rivelato quante email siano state inviate, quanti clienti le abbiano ricevute o se qualcuno abbia seguito le istruzioni malevole. L’azienda non ha pubblicato il contenuto completo dell’email di phishing né ha stabilito se gli utenti abbiano inserito frasi di recupero o altre informazioni sensibili dopo aver ricevuto i messaggi.
Indagine in Corso
La Foundation sta continuando la sua indagine e ha promesso di pubblicare un rapporto che spieghi l’incidente. Herbert ha fornito ulteriori dettagli sulla presunta compromissione, spiegando che gli aggressori avevano sfruttato una vulnerabilità riguardante un’applicazione auto-ospitata.
“Gli aggressori sono stati probabilmente in grado di compromettere la nostra casella di posta di supporto clienti”
Secondo Herbert, l’azienda ha disabilitato l’attività email non autorizzata entro 10 minuti dalla ricezione delle segnalazioni degli utenti e ha rimosso l’accesso degli aggressori ai sistemi interessati. Il team della Foundation sta lavorando attivamente su questo.
Preoccupazioni dei Clienti
L’attacco ha sollevato preoccupazioni perché un messaggio che sembra provenire da un produttore di portafogli hardware fidato può persuadere i destinatari a seguire istruzioni che altrimenti metterebbero in dubbio. Passport è progettato per mantenere le chiavi private Bitcoin isolate dai dispositivi connessi a Internet.
Compromettere l’infrastruttura email di un’azienda non dimostra, di per sé, che i suoi portafogli hardware o le chiavi memorizzate su di essi siano stati violati. Tuttavia, gli utenti possono comunque perdere criptovalute se rivelano le loro frasi di recupero del portafoglio attraverso siti web o applicazioni fraudolente.
Incidenti Simili nel Settore
I clienti dei portafogli hardware hanno affrontato un avviso di phishing simile a settembre, quando Trezor e BitBox hanno segnalato email malevole dopo problemi riguardanti servizi email di terze parti. Un’indagine successiva ha rintracciato la campagna di phishing a un difetto di autorizzazione di Brevo che ha interessato 138 account clienti.
Più recentemente, Keystone ha confermato che le informazioni dei clienti erano state esposte attraverso accessi non autorizzati al sito web. La sua divulgazione del 24 ottobre ha coperto nomi, indirizzi di spedizione, dettagli di contatto e informazioni sugli acquisti, mentre l’azienda ha dichiarato che le chiavi private e le frasi di recupero rimanevano sicure.
Conclusioni e Raccomandazioni
La Foundation non ha confermato che le frasi di recupero siano state rubate durante questo incidente. Herbert ha dichiarato che il team continuerà a rispondere alle domande dei clienti mentre indaga sulla possibile esposizione della casella di posta di supporto, sull’applicazione compromessa e sulla fonte delle informazioni personali che compaiono nelle email fraudolente.
I clienti che ricevono messaggi sospetti dovrebbero evitare di seguire link incorporati, inserire frasi di recupero o collegare i loro portafogli a applicazioni sconosciute. Le comunicazioni che sembrano provenire da domini ufficiali non dovrebbero essere trattate come prova di autenticità.
Chiunque abbia rivelato una frase di recupero dovrebbe considerare il portafoglio associato come compromesso e, dove possibile, trasferire i fondi rimanenti a un portafoglio generato con una nuova frase di recupero.
