Foundation ระบุว่าอีเมลฟิชชิง Passport Wallet ถูกตรวจพบว่ามาจากคีย์ API ที่ถูกบุกรุก

ลูกค้าของ Foundation ได้รับอีเมลฟิชชิงที่ปลอมเป็นการเรียกคืน Passport อย่างเร่งด่วน และข้อความเหล่านั้นมาจากโดเมนของบริษัทเอง ผู้ผลิตวอลเล็ตกล่าวว่าโทษมาจากคีย์ Cloudflare API ที่ถูกบุกรุก แต่ผู้รับตั้งข้อสังเกตว่าที่อยู่บ้านของพวกเขาถูกรวมอยู่ด้วยเช่นกัน

Passport คือฮาร์ดแวร์วอลเล็ตสำหรับ Bitcoin เท่านั้นของ Foundation คำอธิบายของบริษัทชี้แจงว่าอีเมลถูกส่งออกไปอย่างไร แต่ไม่ได้ชี้แจงว่าผู้ส่งรู้ได้อย่างไรว่าใครเป็นเจ้าของอุปกรณ์เหล่านี้

ลูกค้าลงเอยด้วยอีเมลเรียกคืนปลอมได้อย่างไร?

เมื่อวันอาทิตย์ อีเมลเหล่านี้ปรากฏใต้แบนเนอร์ที่ระบุว่าเป็นการเรียกคืนอย่างเร่งด่วน เนื้อหาอ้างว่าซัพพลายเออร์ได้แก้ไขโมดูลจอแสดงผล และผู้โจมตีกำลังดูดเงินออกจากอุปกรณ์ที่ได้รับผลกระทบ

ผู้อ่านถูกบอกไม่ให้รอเครื่องทดแทน แต่ลิงก์กลับนำไปยัง foundation.support ซึ่งเป็นหน้าเว็บปลอมที่ลอกแบบมาจาก Envoy แอปวอลเล็ตคู่หูของ Foundation

หน้านั้นแสดงวอลเล็ตที่ว่างเปล่าและปุ่มฝากเงิน ซึ่งเห็นได้ชัดว่าเป็นเหยื่อล่อให้เหยื่อส่ง Bitcoin

กลโกงนี้เล่นกับความกังวลที่แท้จริงในหมู่ผู้ใช้ Bitcoin wallet รายงานเกี่ยวกับฮาร์ดแวร์วอลเล็ตที่ถูกดัดแปลงแพร่กระจายตลอดปี 2026 ดังนั้นคำเตือนเรื่องห่วงโซ่อุปทานจึงมีน้ำหนัก

บริษัทโพสต์การตอบสนองบน X ในเช้าวันจันทร์ บริษัทกล่าวว่าผู้โจมตีใช้คีย์ Cloudflare API หนึ่งตัวหรือมากกว่าที่ถูกบุกรุก และคีย์ทุกตัวถูกเพิกถอนแล้วตั้งแต่นั้น

Foundation ยังกล่าวอีกว่าโดเมนที่มุ่งร้ายถูกปิดลงแล้ว บริษัทยืนยันว่าเงินใน Passport ปลอดภัย และไม่มีการบุกรุกใดส่งผลต่อตัวฮาร์ดแวร์

ประกาศ: มีการส่งอีเมลสแปมที่ดูเหมือนว่ามาจากโดเมนทางการของ Foundation

เราตรวจย้อนกลับได้ว่ามาจากคีย์ API หนึ่งตัวหรือมากกว่าบน Cloudflare ที่ถูกบุกรุก และได้เพิกถอนคีย์ API ทั้งหมดแล้ว

โดเมนที่มุ่งร้ายในอีเมลสแปมถูกปิดลงแล้ว…

— FOUNDATION (@FoundationHQ) October 26, 2026

คำถามเรื่องข้อมูลลูกค้ายังคงค้างคาหลังฟิชชิง Bitcoin Wallet

อย่างไรก็ตาม ลูกค้าจำนวนหนึ่งโต้กลับ โดยเถียงว่าคีย์ API ที่ถูกบุกรุกไม่สามารถอธิบายได้ว่าผู้โจมตีรู้ชื่อ เบอร์โทรศัพท์ และที่อยู่ไปรษณีย์ของพวกเขาได้อย่างไร

ลูกค้ารายหนึ่งได้รับอีเมลซึ่งที่อยู่ผู้ส่งคือ jobs@foundation.xyz ซึ่งเป็นโดเมนที่ถูกต้องของ Foundation ลูกค้ารายดังกล่าวกล่าวว่าอีเมลดังกล่าวมีชื่อเต็มและที่อยู่ที่เชื่อมโยงกับวอลเล็ตที่ซื้อเมื่อสองปีก่อน

ได้รับอีเมลจาก jobs@foundation.xyz (โดเมนจริงของพวกเขา) บอกว่าวอลเล็ตอายุ 2 ปีที่ฉันได้จากพวกเขาถูกบุกรุก มันมีชื่อเต็มและที่อยู่ของฉัน @FoundationHQ นี่ใช่ของจริงหรือ? @zherbert @sethforprivacy @btcqna pic.twitter.com/YUBQYTGkdY

— blockdyor (@blockdyor) October 26, 2026

Foundation ระบุย้อนกลับไปในปี 2022 ว่าบริษัทโฮสต์แชทฝ่ายสนับสนุนและเครื่องมือการตลาดทางอีเมลด้วยตัวเองเพื่อลดความเสี่ยงจากบุคคลที่สาม

ในเธรดเดียวกันนั้น บริษัทกล่าวต่อไปว่าข้อมูลลูกค้าจะถูกลบทิ้ง 60 วันหลังจากคำสั่งซื้อถูกจัดส่ง

ผู้ใช้อีกรายรายงานว่าอีเมลถูกส่งออกมาเป็นสองเวอร์ชัน ลูกค้าได้รับข้อความที่มีรายละเอียดคำสั่งซื้อครบถ้วน ขณะที่อดีตผู้สมัครงานเห็นเพียงชื่อของตนเท่านั้น

จนถึงตอนนี้ Foundation ยังไม่ได้ยืนยันว่าฐานข้อมูลลูกค้าถูกละเมิดหรือไม่ บริษัทกล่าวว่ารายงานฉบับเต็มจะถูกเผยแพร่โดยเร็วที่สุด

รายละเอียดการจัดส่งที่รั่วไหลมักจะยังคงมีประโยชน์ไปไกลเกินกว่ากลโกงเดิม ตัวอย่างเช่น ลูกค้าของ Ledger ถูกส่งจดหมายปลอมทางไปรษณีย์ในภายหลัง ตามหลังเหตุข้อมูลลูกค้ารั่วไหลก่อนหน้านี้

เหตุการณ์ฟิชชิงครั้งนี้จึงย้ายความเสี่ยงจากกล่องจดหมายไปถึงหน้าประตูบ้าน ในอีกประเด็นหนึ่ง CertiK คาดการณ์ว่าการโจมตีด้วยประแจคริปโตอาจทำสถิติสูงสุดเป็นประวัติการณ์ในปี 2026