Phishing-E-Mails an Passport-Besitzer aus Foundations eigenen Systemen versandt

Am 25. und 26. Oktober 2026 erhielten Passport-Besitzer E-Mails von Foundations offiziellen Domains, die sich als dringender Rückruf ausgaben. Darin hieß es, ein Zulieferer habe ein Displaymodul modifiziert und Guthaben würden abgezogen; verlinkt war foundation.support, eine gefälschte Website, die Foundations Envoy-App imitierte. Einige E-Mails enthielten Namen, Telefonnummern und Postanschriften der Empfänger.

Foundation führte die E-Mails zunächst auf kompromittierte Cloudflare-API-Schlüssel zurück. Nach der späteren Darstellung des Unternehmens gelangten die Angreifer über eine Schwachstelle in einer selbst gehosteten Anwendung in einen Teil des Backends und griffen wahrscheinlich auf das Postfach des Kundensupports zu; laut CriptoNoticias nannte CEO Zach Herbert die Buchungs-App Cal.com. Foundation zählt mehr als 23.000 Phishing-Versuche, davon 19.057 über Mailgun und 1.503 über Google Workspace, von denen einige fehlschlugen oder gestoppt wurden.

Foundation stellte fest, dass ältere Kopien von Bestelltabellen aus seinem früheren WooCommerce-Shop sowie Rückerstattungen, abgebrochene Warenkörbe und Kontaktformulare trotz der eigenen Löschrichtlinie von 60 Tagen noch personenbezogene Daten enthielten und dass Shopify-Bestellungen seit Mai 2026 noch nicht geschwärzt worden waren. Das Unternehmen betrachtet etwa 5.600 Postanschriften und 5.200 Telefonnummern samt Namen und E-Mail-Adressen als potenziell offengelegt. Mehr als 5.000 Empfänger sind nicht in seinen Unterlagen verzeichnet, weshalb Foundation davon ausgeht, dass auch externe Daten verwendet wurden. Foundation gibt an, die E-Mails innerhalb von 10 Minuten nach Hinweisen von Nutzern gestoppt, Schlüssel und Zugangsdaten widerrufen und die gefälschte Domain abgeschaltet zu haben, und erklärt, keine Hinweise darauf gefunden zu haben, dass Passport-Geräte oder ihre Schlüssel kompromittiert wurden. Ende Oktober folgten weitere E-Mails, eine gefälschte Website (foundation[.]holdings) und betrügerische Anrufe; ein vollständiger Bericht steht noch aus.

Was Foundation empfiehlt:

• Geben Sie Ihre Wiederherstellungsphrase niemals auf einer Website ein und teilen Sie sie mit niemandem; Foundation wird niemals danach fragen, und es gibt kein Rückrufprogramm.
• Wenn Sie Ihre Seed-Wörter irgendwo eingegeben haben, übertragen Sie Ihr Guthaben sofort in eine neue Wallet mit einem neuen Seed und wenden Sie sich an Foundation.
• Wenn ein Gerät eintrifft, das Sie nicht bestellt haben, schalten Sie es nicht ein.