Chi possiede un wallet hardware Passport deve fare attenzione alle email che sembrano arrivare dal produttore. Foundation, l’azienda di Boston che realizza il dispositivo per custodire bitcoin, ha confermato una campagna di phishing contro gli utenti di Foundation Passport: i messaggi sono partiti dai suoi domini ufficiali dopo la compromissione di una o più chiavi API di Cloudflare. Secondo l’azienda, i fondi custoditi su Passport sono al sicuro e l’hardware non è compromesso.
Phishing Foundation Passport: cosa è successo
Nell’annuncio pubblicato nella notte tra il 25 e il 26 ottobre, Foundation ha spiegato che le email di spam sembravano provenire dai propri domini ufficiali e che l’attività è stata ricondotta a chiavi API di Cloudflare compromesse. L’azienda ha revocato tutte le chiavi API e ha fatto rimuovere il dominio malevolo indicato nei messaggi. Un rapporto completo sull’incidente è stato promesso appena possibile.
Il cofondatore e CEO Zach Herbert ha aggiunto che gli attaccanti hanno avuto accesso a parte dell’infrastruttura di backend sfruttando una vulnerabilità in un’applicazione ospitata internamente, e che con ogni probabilità hanno compromesso la casella dell’assistenza clienti. Secondo Herbert, l’invio delle email non autorizzate è stato bloccato entro dieci minuti dalle prime segnalazioni degli utenti.
Dati personali nelle email: cosa non è ancora chiaro
Diversi destinatari hanno riferito che i messaggi contenevano nome, indirizzo, email e dettagli di acquisti passati. Un utente ha segnalato un’email apparentemente inviata da hello@foundation.xyz che avvertiva di un rischio per i fondi e chiedeva di passare a una nuova frase di recupero, una richiesta tipica delle truffe sui wallet.
Foundation non ha ancora stabilito da dove provengano questi dati. Le ipotesi indicate dall’azienda sono l’accesso alla casella dell’assistenza, database di clienti crypto già finiti online in passato oppure ordini recenti gestiti tramite il negozio Shopify. Non è stato reso noto quante email siano state inviate né se qualcuno abbia seguito le istruzioni.
Non è l’unico caso: la falla di Electrum sfruttata
Negli stessi giorni gli sviluppatori di Electrum, uno dei wallet Bitcoin software più longevi, hanno pubblicato un advisory su una vulnerabilità di gravità alta nelle versioni precedenti alla 4.8.3. Un server Electrum malevolo può trattenere una transazione appena inviata e mostrare al suo posto una transazione falsa che dirotta i fondi verso un indirizzo dell’attaccante, scelto in modo che le ultime quattro cifre coincidano con quello legittimo. Se l’utente aumenta la commissione con la funzione Replace-by-Fee, il wallet firma la transazione falsa e paga l’attaccante.
Secondo l’advisory, alcuni server stavano già sfruttando l’attacco: gli sviluppatori hanno ricevuto due segnalazioni e in un caso l’utente ha perso denaro. La versione 4.8.3, rilasciata il 24 ottobre, verifica le firme delle transazioni non confermate che spendono fondi del wallet. Chi si collega solo a server fidati, per esempio il proprio, non è esposto.
Cosa fare per proteggere il proprio wallet
- Non cliccare sui link delle email che parlano di richiami, falle urgenti o fondi a rischio, anche se il mittente sembra quello ufficiale.
- Non comunicare mai le parole della frase di recupero o il PIN del dispositivo: la documentazione di Foundation ricorda che l’azienda non li chiede mai.
- Se si è già inserita la frase di recupero in un sito o in un modulo, spostare i fondi su un wallet con una nuova frase di recupero.
- Chi usa Electrum deve aggiornare alla 4.8.3 o successiva, scaricandola solo dal sito ufficiale e verificandone le firme.
- Prima di firmare qualsiasi transazione, anche un aumento di commissione, controllare per intero l’indirizzo di destinazione e l’importo, non solo i primi o gli ultimi caratteri.
Le truffe legate alle criptovalute sfruttano spesso marchi noti, come nel caso delle truffe su GTA VI con falsi token crypto, e le fughe di dati possono esporre anche i possessori di wallet, come era successo con la piattaforma Web3 Huddle01. Per riconoscere le email contraffatte valgono gli stessi accorgimenti visti con le false email di Zoom e Docusign.
Fonti: crypto.news, cryptonews.net, The Defiant, Electrum, advisory GHSA-6jp4-8v48-cc5v, CoinDesk.
