Хакеры пытались похитить seed-фразы владельцев криптокошельков Passport с помощью фишинга

Foundation, производитель аппаратного кошелька Passport, выявила более 23 000 попыток рассылки фишинговых писем через собственные почтовые системы. Результаты расследования компания опубликовала 26 октября 2026 года. Злоумышленники получили доступ к устаревшим базам данных с персональными данными клиентов и использовали эти сведения, чтобы выманить у пользователей seed-фразу кошелька.

Масштаб рассылки

Из общего числа попыток 19 057 писем ушли через сервис Mailgun, ещё 1 503 — через Google Workspace. Некоторые адреса получили сразу несколько сообщений, а часть писем не дошла до получателей или была остановлена. Поэтому итоговые цифры не равны числу людей, чьи данные оказались раскрыты. Точное количество пострадавших Foundation пока уточняет и обещает назвать его после подтверждения.

Откуда утекли данные

Расследование показало, что персональные данные из исторических заказов WooCommerce, оформленных до перехода на Shopify в мае 2026 года, остались в старых таблицах базы данных. В административной панели такие заказы выглядели отредактированными (redacted), но на деле автоматическое редактирование через 60 дней после отправки затрагивало только новые таблицы. В старых копиях сохранились имена, контактные данные и адреса доставки. Похожая информация нашлась в записях о возвратах и брошенных корзинах, а все эти системы были доступны злоумышленникам.

Под угрозой оказались и клиенты, которые оформляли заказы через Shopify начиная с мая 2026 года. Автоматическое удаление данных тогда ещё не включили, а ручное редактирование не проводилось.

В более позднем обновлении от 26 октября компания уточнила масштаб. В доступных злоумышленникам системах хранились записи примерно с 5 600 почтовыми адресами и 5 200 номерами телефонов, а также именами и адресами электронной почты. Все эти сведения Foundation считает потенциально раскрытыми. При этом свыше 5 000 адресов, на которые пришли фишинговые письма, отсутствуют в записях WooCommerce и Shopify. Часть из них совпадает с ящиками поддержки и найма. Компания предполагает, что атакующие подключали и данные из внешних источников.

Что сделала компания

Foundation отозвала скомпрометированные учётные данные электронной почты, очистила очередь фишинговых сообщений и отключила затронутые устаревшие сервисы, сохранив доказательства для расследования. Признаков взлома устройств Passport или хранящихся на них приватных ключей, по словам компании, нет. Письма строились на реальных персональных данных, чтобы выглядеть убедительнее, а их цель — получить фразу восстановления, которая даёт полный доступ к кошельку.

Первые спам-письма с официальных на вид доменов компания связала с одним или несколькими скомпрометированными API-ключами Cloudflare. Все ключи отозвали, а вредоносный домен из писем отключили. Средства на устройствах Passport и само оборудование остались нетронутыми.

Для владельцев Passport главным остаётся простой факт: фразу восстановления нельзя вводить на сайтах и в ответах на письма, кто бы ни выступал отправителем. Foundation обещает опубликовать итоговые цифры после завершения проверки.

Мнение ИИ

Анализ исторических паттернов показывает: у контактных данных клиентов очень долгий срок годности. Ledger ещё в 2020 году сообщил, что у мошенников оказались исключительно контактные данные покупателей, а безопасность самих кошельков не пострадала. Для владельца устройства такая оговорка звучит успокаивающе, для фишера — как список адресатов с персональным обращением. Технический нюанс истории: «отредактированный» заказ в административной панели и физически удалённая запись — разные вещи, а старая таблица помнит всё, о чём её не попросили забыть.

Ситуация демонстрирует, что граница безопасности проходит не по чипу кошелька, а по папке «Входящие». Надёжное устройство остаётся сейфом, код от которого способен выманить любой убедительный собеседник. Покажет время, превратится ли чистка старых таблиц в такую же рутину, как обновление прошивки.