Foundation Passport, hacker nelle email: Cloudflare e dati clienti a rischio

🛡️ Executive Summary

• Foundation conferma la compromissione di chiavi API Cloudflare e l’invio di email fraudolente apparentemente provenienti dai propri domini ufficiali.
• Alcune comunicazioni contengono nomi, indirizzi e altri dati personali. La società non ha ancora accertato da quale sistema siano state ricavate queste informazioni.
• I dispositivi Passport e i fondi custoditi non risultano compromessi secondo il produttore. Il rischio immediato riguarda le truffe che spingono i clienti a trasferire Bitcoin o comunicare informazioni sensibili.

Foundation ha confermato un incidente di sicurezza che ha permesso agli aggressori di inviare email di phishing apparentemente provenienti dai domini ufficiali del produttore di hardware wallet Passport. L’azienda ha individuato almeno una chiave API Cloudflare compromessa, revocato le credenziali e fatto disattivare il dominio utilizzato nella campagna fraudolenta. Le segnalazioni del 26 ottobre 2026 riguardano messaggi che avvertono falsamente i proprietari di un rischio per i fondi Bitcoin, invitandoli a seguire procedure di sicurezza non autorizzate. Il problema più delicato riguarda l’utilizzo di informazioni personali reali in alcune email, circostanza che rende la truffa credibile e apre interrogativi sull’eventuale esposizione dei dati dei clienti.

Foundation conferma il compromesso delle API Cloudflare e delle comunicazioni

L’incidente è stato comunicato direttamente da Foundation, produttrice dei wallet Passport e dell’applicazione Envoy, dopo le prime segnalazioni di clienti che avevano ricevuto messaggi allarmistici. La società ha dichiarato di aver ricondotto l’attività fraudolenta a una o più chiavi API Cloudflare compromesse, provvedendo alla revoca delle credenziali utilizzate nell’infrastruttura. Gli attaccanti sono riusciti a inviare comunicazioni che apparivano provenire dai domini dell’azienda o da indirizzi facilmente confondibili con quelli legittimi. Il messaggio principale avvertiva i destinatari di un presunto problema di sicurezza del dispositivo Passport e li invitava a visitare un sito di assistenza contraffatto. Il produttore ha spiegato di aver fatto rimuovere il dominio malevolo e ha ribadito che l’hardware Passport non risulta compromesso, senza però fornire ancora una ricostruzione tecnica completa della catena d’attacco. Il CEO Zach Herbert ha successivamente riconosciuto il coinvolgimento di componenti dell’infrastruttura backend e la possibilità che gli aggressori abbiano avuto accesso anche alla casella di supporto clienti. Queste informazioni indicano una compromissione di servizi gestionali e di comunicazione, non una dimostrazione del furto delle chiavi private conservate sui dispositivi. È una distinzione centrale, già emersa nelle campagne di phishing contro Trezor, dove dati e comunicazioni dei servizi collegati diventavano il punto di partenza dell’attacco.

Leggi anche: Crypto sotto attacco dalle chiavi agli utenti: due milioni rubati e phishing dai leak

Le false email citano indirizzi e acquisti precedenti dei clienti

Alcuni destinatari hanno riferito di aver ricevuto comunicazioni contenenti nome completo, indirizzo di spedizione, recapito telefonico o dettagli relativi all’acquisto del wallet, informazioni che possono rendere particolarmente persuasivo un messaggio fraudolento. In alcuni casi il mittente risultava associato a un dominio ufficiale, mentre in altri venivano utilizzate variazioni ingannevoli dell’indirizzo. L’impiego di dati coerenti con acquisti effettuati anche diversi anni prima ha sollevato dubbi sulla provenienza delle informazioni. Foundation non ha ancora confermato una violazione generalizzata dell’archivio clienti: tra le ipotesi considerate figurano l’accesso alla posta di supporto, l’impiego di informazioni già esposte attraverso incidenti precedenti e i dati disponibili nei sistemi che gestiscono gli ordini. La compromissione delle chiavi Cloudflare non spiega automaticamente il possesso di indirizzi domestici o informazioni sugli acquisti, perché questi elementi possono provenire da sistemi differenti. Stabilire il percorso seguito dagli aggressori sarà decisivo per quantificare il perimetro dell’incidente e valutare eventuali obblighi di notifica. È lo stesso problema emerso nel caso Revolut, dove una falsa richiesta istituzionale ha portato alla divulgazione di documenti e informazioni personali: una comunicazione apparentemente credibile può diventare il mezzo per superare le difese organizzative e convincere le vittime a compiere un’azione dannosa.

Il falso aggiornamento Passport punta a sottrarre Bitcoin agli utenti

La campagna utilizza un pretesto ricorrente nelle truffe contro gli hardware wallet: l’annuncio di una compromissione del dispositivo e la necessità urgente di mettere in sicurezza i fondi. I destinatari vengono indirizzati verso pagine che riproducono gli elementi grafici e il linguaggio del produttore, presentando una procedura apparentemente collegata all’applicazione Envoy. Secondo le testimonianze disponibili, almeno una versione della pagina imitava un’interfaccia di wallet e proponeva operazioni che avrebbero potuto spingere l’utente a inviare Bitcoin sotto il controllo degli aggressori. Non risultano però pubblicati dati verificati sul numero delle vittime o sul valore dei fondi eventualmente sottratti attraverso questa specifica campagna. Per chi possiede Passport, il messaggio da seguire è non inserire la frase di recupero in siti web, moduli di assistenza o applicazioni raggiunte da link ricevuti per email. Allo stesso modo non bisogna trasferire criptovalute a nuovi indirizzi soltanto perché un messaggio sostiene che quelli attuali non siano sicuri. Una seed phrase comunicata a un terzo consente normalmente di ricostruire il wallet e disporre dei fondi, indipendentemente dalla sicurezza fisica del dispositivo originario. Il rischio è quindi analogo a quello documentato per malware specializzati nel sottrarre seed phrase da Trezor e Ledger, anche se in questo caso il vettore principale è l’ingegneria sociale e non un programma malevolo già installato sul computer.

Continua con:

App Store, falsa app Ledger sottrae criptovalute: Apple interviene

Hardware wallet sicuri, ma la protezione delle informazioni resta decisiva

Foundation sostiene che Passport e i fondi custoditi attraverso il dispositivo rimangono sicuri e ha promesso un rapporto dettagliato al termine dell’indagine. La dichiarazione non implica che tutti i clienti siano immuni dalle truffe, perché il controllo delle chiavi private non impedisce a un utente di autorizzare volontariamente un trasferimento verso un indirizzo fraudolento. Chi ha ricevuto una delle comunicazioni dovrebbe ignorarne i collegamenti, verificare gli avvisi direttamente attraverso i canali ufficiali del produttore e controllare di non aver inserito dati di recupero o autorizzato transazioni sospette. Se una frase di recupero è stata effettivamente comunicata agli aggressori, il wallet interessato deve essere considerato compromesso e occorre valutare il trasferimento dei fondi residui verso un nuovo portafoglio generato in un ambiente affidabile. Non è invece necessario sostituire automaticamente ogni Passport soltanto perché il proprio indirizzo email compare tra i destinatari della campagna, almeno sulla base delle informazioni attualmente disponibili. La vicenda dimostra che la sicurezza dell’hardware può rimanere intatta mentre l’infrastruttura commerciale e di assistenza espone gli utenti a rischi gravi. Il punto da chiarire non è soltanto quale chiave API sia stata compromessa, ma quali dati personali siano stati effettivamente raggiunti dagli aggressori e attraverso quali sistemi. Fino alla pubblicazione dell’analisi tecnica, questa rimane la principale questione irrisolta.