硬件钱包开发商 FOUNDATION：攻击者经自托管预约系统漏洞入侵，部分银行卡信息遭泄露

BiRun 讯，比特币硬件钱包 Passport 开发商 FOUNDATION 发布 10 月安全事件复盘报告称，攻击者利用其自托管的 Cal.com 预约系统中的代码执行漏洞入侵服务器，再通过连接 HashiCorp Vault 的组件 Bank-Vaults 中的另一处漏洞窃取多项服务凭证，进而读取客户记录、通过其邮件服务商发送钓鱼邮件并修改域名设置，最早的未授权活动可追溯至 10 月 21 日。此次钓鱼邮件共尝试发送超过 2.3 万次，涉及 21,463 个邮箱地址。FOUNDATION 表示，Passport 中存储的资金是安全的，没有任何召回或换机计划，也不会要求用户提供助记词。泄露信息包括姓名、邮箱、邮寄地址、电话、订单详情、历史客服记录，以及持卡人姓名、卡号后四位和有效期等部分银行卡信息，完整卡号未泄露。已有用户反映接到冒充 FOUNDATION 客服的诈骗电话，对方能准确说出订单信息和银行卡后四位，并以召回或换机为由诱导用户提供助记词或转移资金。FOUNDATION 表示，将把自托管服务尽可能迁移至托管基础设施，并收紧各应用的访问权限。BiRun 此前消息，FOUNDATION 10 月 27 日发推表示，其邮件系统共记录超过 2.3 万次钓鱼邮件发送尝试，部分历史订单个人信息或遭泄露，目前尚无证据表明 Passport 硬件设备或其存储的私钥受到影响。