Foundation、CloudflareのAPIキーを全件失効 自社ドメインからフィッシングメール送信の事実を確認

偽リコールメールがPassport保有者を直撃

ハードウェアウォレット大手のFoundationは月曜早朝、自社顧客を狙ったフィッシング作戦の封じ込めを完了したと発表した。X上の公式声明によれば、迷惑メールがFoundationの公式ドメインから送信されていたことが確認され、侵入の経路はCloudflareのAPIキー1件以上が漏洩したことに遡るという。同社のX発表は、送信元が公式ドメインに見えたことは素直に認めたうえで、対応内容を列挙している。APIキーは全件すでに失効済みで、メール内に記載されていた悪意あるドメインもすでに閉鎖された。同社は、ビットコイン専用ハードウェアウォレット「Passport」に保管された資金は安全で、ハードウェア自体は侵害されていないと強調する。Passportはコインの移動を許可する鍵をオフラインに保管しており、「端末が危殆化した」というメールはその前提そのものを突く攻撃だ。問題のメッセージは10月25日日曜日に届き、「緊急リコール」の看板を掲げていた。内容は、サプライヤーが表示モジュールを改変し、攻撃者が該当端末から資金を吸い上げているというもので、受け手に交換を待つなと促していた。埋め込まれたリンクの先はfoundation.supportで、同社のコンパニオンウォレットアプリEnvoyを模した偽サイトだった。このページは空のウォレットと入金ボタンを表示する構成で、訪問者を攻撃者が管理するアドレスへのビットコイン(BTC)送金へ誘導する狙いがあった。送られるのは、長年コールドストレージでHODLするために購入されたコインであることも多い。カバーストーリーは信じ込ませるために選ばれていた。2026年を通じて改ざんされたハードウェアウォレットの報告が相次いでいたため、メーカー名義のサプライチェーン警告はもっともらしく見えたのである。Foundationはビットコイン・マキシマリズムの伝統に沿ってPassportを厳格な単一通貨機器として設計しており、顧客層は広義のBitcoinエコシステムの中でも自己管理派に属する。偽リコールが狙うのはまさにこの層だ。こうした読者はリコール通知をスパムではなく貯蓄への直接的な脅威として受け取る。通知はメール配信の翌朝に掲載された。

解けないままの顧客データ問題

鍵の失効は、メールがどう送られたかの説明にはなる。しかし送信者が誰がPassportを保有しているのかをどう知ったのかは、依然として説明されていない。発表への返信では複数の利用者が、漏洩したAPIキーだけでは本文中の個人情報、すなわち氏名、電話番号、自宅の郵送先住所を説明できないと指摘した。ある利用者の報告では、メールはFoundationの実在ドメイン上のアドレスjobs@foundation.xyzから届き、氏名のほか、2年前に購入したウォレットに紐づく郵便住所が併記されていた。別の利用者によれば、メールには2系統あり、顧客には注文情報がすべて入ったものが届き、元求職者には氏名のみのものが届いた。Foundation自身の過去の発言が疑問を鋭くしている。2022年、同社はXのスレッドで、サードパーティーリスクを抑えるためサポートチャットとメールマーケティング基盤を自社ホスティングしていると述べ、さらに注文の出荷後60日で顧客データを削除すると明言していた。この2つの主張がいま、公開の問いの中心に置かれている。日曜のメールは、何年も前に出荷された注文に紐づく配送データを運んでいたからだ。顧客データベースが侵害されたのかどうか、同社はまだ答えていない。完全な報告書を可能な限り速やかに公開するとしている。この露出の意味は1作戦にとどまらない。過去には顧客データ流出のあと、Ledgerの購入者が偽の手紙を郵便で受け取った。脅威が受信箱から玄関先へ移動した実例である。CertiKの予測では、コイン保有者への物理的強要であるレンチ攻撃は2026年に過去最高へ達する可能性がある。ウォレット保有者と自宅住所を突き合わせた名簿は、暗号資産ホエールか一般の購入者かを問わず、こうした犯罪に必要な標的リストだ。

通知が残した空白

一次記録、すなわちFoundation自身のXでの発言を当方で読み解く限り、同社は配信経路の問題には答えたが、データ問題は開いたままにしている。通知はメッセージがどう送られたかを説明し、偽サイトの閉鎖を確認している。しかし攻撃者が氏名、電話番号、住所を特定の機器の保有者にどう紐づけたのか、また出荷後60日で削除するとされる記録が実際にはその期間を超えて残っていたのかは語られていない。記録のどこにも、ブラインド署名を回避する手口でもなく、リプレイ攻撃やPassportの署名ハードウェアの侵害を示す材料もない。報告されているリスクは端末ではなく識別データ側にある。月曜に終わったのは偽リコールサイトだ。それと同時に浮上したのは、何年も前の出荷注文に紐づく配送データがまだ出回っているという事実であり、同社が約束する完全報告書が次の確認点となる。