硬件钱包厂商 FOUNDATION 遭系统漏洞攻击,银行卡信息泄露,用户紧急注意!
比特币硬件钱包 Passport 开发商 FOUNDATION 发布 10 月安全事件复盘报告称,攻击者先利用自托管 Cal.com 预约系统的代码执行漏洞入侵服务器,再通过 Bank‑Vaults 组件漏洞窃取 HashiCorp Vault 中的服务凭证,进而读取客户记录、发送钓鱼邮件和修改域名设置。最早的未授权活动可追溯至 10 月 21 日,钓鱼邮件尝试超过 2.3 万次,涉及 21,463 个邮箱地址。泄露信息包括姓名、邮箱、邮寄地址、电话、订单详情、历史客服记录,以及部分银行卡信息(持卡人姓名、卡号后四位及有效期),完整卡号未泄露。部分用户报告收到冒充 FOUNDATION 客服的诈骗电话,骗子能准确说出订单信息和银行卡后四位,诱导用户提供助记词或转移资金。 FOUNDATION 表示,Passport 中存储的资金是安全的,没有召回或换机计划,将把自托管服务迁移至托管基础设施,并收紧各应用的访问权限。