ビットコイン・ウォレットのフィッシングメールが、緊急のパスポート回収を装い、ファンデーションの顧客に同社のドメインから送信された。ウォレットメーカーはCloudflareのAPIキーが流出したと説明するが、受信者によれば自宅住所も流出した模様。
ファンデーションは、ビットコイン専用のハードウェアウォレット「パスポート」を開発する企業。同社はメールの送信方法について説明したが、攻撃者がデバイス所有者をどう特定したのかは明らかにしていない。
なぜ偽の回収通知が実際の顧客に届いたのか
メールは日曜日に「緊急回収」を強調する内容で届いた。メールは、サプライヤーがディスプレイモジュールを改変し、攻撃者が該当デバイスから資金を不正に引き出していると主張した。
受信者には交換品を待たず、リンクをクリックするよう促した。そのリンクは、ファンデーションの公式アプリ「エンボイ」を装う偽サイト foundation.support へ誘導するものだった。
サイトでは空のウォレットと入金ボタンが表示され、被害者にビットコインを送金させる狙いだったとみられる。
ビットコイン・ウォレットを狙ったこのフィッシング手口は、実際の不安心理を突いている。改ざんされたハードウェアウォレットの報告は2026年を通じて複数確認されており、サプライチェーンリスクを訴える内容は現実味がある。
ファンデーションは月曜日早朝、Xで対応を公表した。説明によれば攻撃者は1つまたは複数のCloudflare APIキーを不正利用したとされ、すべてのAPIキーを無効化したという。
ファンデーションは悪意のあるドメインも削除したと説明。また、パスポート上の資金やハードウェア自体に問題はないとしている。
ANNOUNCEMENT: SPAM EMAILS HAVE BEEN SENT THAT APPEAR TO HAVE COME FROM OFFICIAL FOUNDATION DOMAINS.
— FOUNDATION (@FoundationHQ) October 26, 2026
We have traced this back to one or more compromised API keys on Cloudflare, and have already revoked all API keys.
The malicious domain in the spam email has been taken down.…
ビットコイン・ウォレットのフィッシング、顧客データ流出の疑問が残る
一方で、複数の利用者が、APIキー流出だけでは攻撃者が氏名や電話番号、郵送先住所を知ることはできないと指摘した。
ある利用者は、ファンデーションの公式ドメイン jobs@foundation.xyz からメールを受信。内容には本人のフルネームおよび2年前に購入したウォレットに紐づく住所が記載されていた。
Got an email from jobs@foundation.xyz (their real domain) saying my 2-year-old wallet I got from them is compromised. It has my full name and address. @FoundationHQ is this legit? @zherbert @sethforprivacy @btcqna pic.twitter.com/YUBQYTGkdY
— blockdyor (@blockdyor) October 26, 2026
2022年時点でファンデーションは、サポートチャットやメールマーケティングツールを自社運用し、第三者のリスクを最小化していると説明していた。
同じスレッドで、商品発送から60日後に顧客データを削除するとも付記している。
別の利用者は、2種類のメールが出回ったと述べた。顧客には注文情報を含む内容、かつての求人応募者には氏名のみが送られたという。
現在のところ、ファンデーションは顧客データベースが不正アクセスを受けたかどうか明らかにしていない。できるだけ早く詳細な報告書を公表するとしている。
配達データの流出は、最初の詐欺だけで終わらないことが多い。例えばPastには、レジャー購入者が偽の郵送書簡を受け取ったり、顧客情報の過去流出も報告された。
今回のビットコイン・ウォレットのフィッシング被害は、脅威が「受信箱」から「玄関先」へと広がる事態となった。こうした中、CertiKはクリプトレンチ攻撃が2026年に過去最多を記録する可能性を予測している。
jp.beincrypto.com でPhil Haunhorstによるオリジナル記事 パスポートウォレットは安全か 財団が語るフィッシングメールの現状 を読む