Bitcoin-Wallet-Phishing-E-Mails, die als dringender Passrückruf getarnt waren, erreichten Foundation-Kunden von den eigenen Domains des Unternehmens. Der Wallet-Hersteller macht kompromittierte Cloudflare-API-Schlüssel verantwortlich, jedoch berichten Empfänger, dass die Nachrichten zudem ihre Wohnadressen enthüllten.
Foundation stellt Passport her, eine Hardware-Wallet nur für Bitcoin. Allerdings erklärt das Unternehmen nur, wie die E-Mails verschickt wurden, nicht, woher die Angreifer wissen, wer die Geräte besitzt.
Wie erreichte ein gefälschter Rückruf echte Kunden?
Die E-Mails wurden am Sonntag unter einem dringenden Rückruf-Vorwand verschickt. Sie behaupteten, ein Zulieferer habe ein Display-Modul verändert und Angreifer würden Gelder von betroffenen Geräten abziehen.
Die Nachricht forderte die Empfänger auf, nicht auf ein Ersatzgerät zu warten. Stattdessen leitete ein Link auf foundation.support, eine gefälschte Seite, die Envoy nachahmte, die Wallet-App von Foundation.
Die Seite zeigte eine leere Wallet mit einer Einzahlungs-Schaltfläche, offenbar um Opfer zu verleiten, Bitcoin zu senden.
Der Bitcoin-Wallet-Phishing-Versuch greift eine reale Angst auf. Berichte über manipulierte Hardware-Wallets haben sich im Jahr 2026 verbreitet, daher wirkt eine Warnung zur Lieferkette glaubhaft.
Foundation reagierte am frühen Montag auf X. Nach Angaben des Unternehmens nutzten Angreifer einen oder mehrere kompromittierte Cloudflare-API-Schlüssel, alle wurden inzwischen gesperrt.
Das Team erklärt, auch die schädliche Domain entfernt zu haben. Zudem seien Guthaben auf Passport sicher und die Hardware selbst sei nicht kompromittiert.
ANNOUNCEMENT: SPAM EMAILS HAVE BEEN SENT THAT APPEAR TO HAVE COME FROM OFFICIAL FOUNDATION DOMAINS.
— FOUNDATION (@FoundationHQ) October 26, 2026
We have traced this back to one or more compromised API keys on Cloudflare, and have already revoked all API keys.
The malicious domain in the spam email has been taken down.…
Bitcoin-Wallet-Phishing lässt Frage zu Kundendaten offen
Trotzdem antworteten mehrere Nutzer, dass gestohlene API-Schlüssel nicht erklären, woher Angreifer deren Namen, Telefonnummern und Postadressen kennen.
Ein Nutzer erhielt die E-Mail von jobs@foundation.xyz, der echten Domain von Foundation. Er erklärte, die E-Mail enthalte seinen vollständigen Namen und die Adresse, die mit einer vor zwei Jahren gekauften Wallet verknüpft ist.
Got an email from jobs@foundation.xyz (their real domain) saying my 2-year-old wallet I got from them is compromised. It has my full name and address. @FoundationHQ is this legit? @zherbert @sethforprivacy @btcqna pic.twitter.com/YUBQYTGkdY
— blockdyor (@blockdyor) October 26, 2026
Bereits 2022 teilte Foundation mit, Chats und das E-Mail-Marketing-Tool selbst zu hosten, um Risiken durch Drittanbieter zu verringern.
Im selben Thread fügte das Unternehmen hinzu, dass Kundendaten 60 Tage nach Versand einer Bestellung gelöscht werden.
Ein anderer Nutzer sagte, es habe zwei Versionen der E-Mail gegeben. Kunden erhielten Nachrichten mit vollständigen Bestelldetails, während ehemalige Bewerber nur ihren Namen sahen.
Bisher hat Foundation nicht mitgeteilt, ob die Kundendatenbank betroffen ist. Das Unternehmen kündigt an, so bald wie möglich einen vollständigen Bericht zu veröffentlichen.
Geleakte Lieferdaten können Betrugsversuche lange überdauern. So erhielten Ledger-Käufer gefälschte Briefe per Post nach früheren Datenpannen.
Dadurch verlagert dieser Bitcoin-Wallet-Phishing-Angriff die Bedrohung vom Posteingang bis zur Haustür. Zugleich rechnet CertiK damit, dass Crypto-Wrench-Angriffe im Jahr 2026 einen Rekordwert erreichen könnten.
Lesen Sie die Originalgeschichte Ist Ihr Passport-Wallet sicher? Das sagt die Foundation zu den Phishing-E-Mails von Phil Haunhorst auf de.beincrypto.com