Foundation, l’entreprise de Boston qui fabrique le portefeuille matériel bitcoin Passport, affirme avoir fait remonter une vague de phishing visant ses clients, le lundi 26 octobre, à une ou plusieurs clés d’API Cloudflare compromises. Dans un message publié sur X à 03 h 47 UTC, la société indique avoir révoqué toutes ses clés d’API et fait supprimer le domaine malveillant utilisé dans les e-mails. Elle ajoute que les fonds stockés sur les Passport sont en sécurité et que le matériel n’a pas été compromis.
Foundation n’a en revanche rien dit de ce qui inquiète le plus les propriétaires. Plusieurs destinataires racontent que les messages les appelaient par leur prénom et affichaient leur adresse personnelle ou de livraison, et dans un cas un numéro de téléphone. Une clé Cloudflare compromise peut expliquer l’envoi des e-mails. Elle n’explique pas d’où viennent les données des clients, et l’entreprise promet un rapport détaillé sans en donner la date.
Phishing Foundation Passport : ce que la société a déclaré, et quand
La première déclaration publique est tombée sur X, depuis le compte officiel @FoundationHQ. Elle s’ouvrait en capitales : « DES E-MAILS DE SPAM QUI SEMBLENT PROVENIR DES DOMAINES OFFICIELS DE FOUNDATION ONT ÉTÉ ENVOYÉS » (notre traduction). La société dit avoir relié l’activité à « une ou plusieurs clés d’API compromises sur Cloudflare », révoqué toutes ses clés d’API et fait retirer le domaine malveillant. « Les fonds stockés sur Passport sont en sécurité et le matériel Passport n’est pas compromis », écrit-elle, en annonçant un rapport complet.
Le site spécialisé RuntimeWire a relayé la déclaration à 23 h 42, heure du centre des États-Unis, le 25 octobre (04 h 42 UTC le 26 octobre). Le message parle de spam ; le site de Foundation et les personnes qui ont reçu les e-mails parlent de phishing. blockchain that runs exactly as written when it is called, holding and moving funds according to its code, without an intermediary able to change the outcome.">smart contract holding reserves of two or more tokens, supplied by users, that a decentralized exchange uses to execute trades automatically at a price set by a formula.">pool diverge, compared with simply holding the same tokens in a wallet. It becomes permanent when the provider withdraws.">Il ne donne ni le nombre de messages envoyés ni celui des personnes touchées.
Sur son propre site, Foundation a ajouté un court avertissement en haut de sa page de blog : les e-mails affirmant « Your Passport funds are at risk » (« les fonds de votre Passport sont en danger ») sont une arnaque de phishing, et l’entreprise indique mener une enquête. À 06 h 50 UTC le 26 octobre, le blog ne comportait aucun article sur l’incident. Ses dernières entrées étaient des notes de logiciel : KeyOS 1.4.1 le 22 octobre et Envoy 2.3.5 le 1er octobre.
Des e-mails de phishing avec le nom et l’adresse postale des propriétaires
Le tableau le plus net de ces e-mails vient du forum communautaire de Foundation. Un fil intitulé « Email scam? », sur le forum Passport Prime, a été ouvert à 03 h 16 UTC le 26 octobre et a rassemblé 15 messages de 12 membres en moins de trois heures, d’après le fil lui-même.
Le premier membre écrit que le message venait de [email protected], un domaine imitant le vrai foundation.xyz avec une lettre changée, et qu’il comportait son nom, son adresse e-mail et son adresse postale. D’autres ont suivi rapidement. Un membre a reçu l’e-mail sur deux adresses, dont une qu’il utilise rarement. Un autre dit que l’adresse e-mail masquée employée à la commande l’a reçu, avec son adresse postale et son numéro de téléphone. Un troisième affirme que l’« adresse de livraison » affichée correspondait à son adresse de facturation.
Ce sont des témoignages individuels, que Foundation n’a pas confirmés. Ils concordent pourtant : prénom, adresse e-mail et adresse postale, parfois un numéro de téléphone. Un membre a soumis l’e-mail au chatbot Gemini de Google ; son analyse relève un « avis de rappel urgent » (« Urgent recall notice ») et l’affirmation que des fonds sont en train d’être dérobés. Elle ajoute que le bouton du message passait par une redirection publicitaire avant d’arriver sur une page hébergée sur Arweave. Coindaro n’a pas pu tester ces liens, et l’analyse vient d’un chatbot : c’est une piste, pas un constat.
À 04 h 19, un membre a publié le texte de la déclaration de Foundation, signée « Jacob ». Deux minutes plus tard, le même membre écrivait que des clés d’API révoquées n’expliquent pas comment les expéditeurs avaient des adresses e-mail et postales. D’autres se sont demandé pourquoi l’entreprise conservait encore leurs informations ; l’un pensait que les données de commande étaient effacées après 60 jours. Aucun compte vérifié de Foundation n’avait répondu dans le fil à 06 h 01, heure du dernier message vu par Coindaro.
La question ouverte : d’où viennent les données des clients ?
Deux choses distinctes se sont produites, et Foundation n’en a traité qu’une. La première est l’envoi : des messages assez crédibles pour atteindre les boîtes de réception. L’explication de la société, des clés Cloudflare compromises, la couvre. La seconde est le contenu : des noms et des adresses associés à de vrais acheteurs de Passport. Rien dans la déclaration n’indique que des données de commande ont été consultées, ni par qui, ni depuis quel système.
Un petit décalage reste aussi à éclaircir. Le message de Foundation évoque des e-mails qui semblent venir de domaines officiels de Foundation, tandis que le premier témoignage du forum cite un domaine imité. Les deux peuvent être vrais si plusieurs adresses d’expédition ont servi, mais Foundation n’a pas listé les domaines concernés.
Ce que Foundation n’a pas encore dit, à 06 h 50 UTC le 26 octobre :
- combien de clients ont reçu l’e-mail, et à quelles dates ;
- d’où viennent les noms, adresses et numéros de téléphone ;
- quel compte Cloudflare a été exposé et comment les clés ont fuité ;
- quels domaines ont envoyé les messages, au-delà de celui qu’elle a fait retirer ;
- si un propriétaire a saisi sa phrase de récupération sur la page indiquée et perdu des fonds (aucune perte n’a été signalée à ce stade) ;
- quand le rapport détaillé sera publié.
Pourquoi une clé Cloudflare compromise permet d’envoyer des e-mails crédibles
Ce qui suit est une explication générale, pas la description de ce cas, que Foundation n’a pas détaillé. Cloudflare sert à de nombreuses entreprises à gérer le DNS de leurs domaines : les enregistrements publics qui indiquent à internet quels serveurs répondent pour un site et quels serveurs peuvent envoyer ou recevoir le courrier du domaine. Une clé ou un jeton d’API Cloudflare est un mot de passe destiné aux logiciels. Selon les droits qui lui ont été donnés, il peut lire ou modifier ces enregistrements sans que personne ne se connecte au tableau de bord.
Les messageries vérifient trois types d’enregistrements avant de faire confiance à un message : le SPF liste les serveurs autorisés à envoyer pour un domaine, le DKIM publie la clé qui signe son courrier, et le DMARC indique quoi faire des messages qui échouent aux contrôles. Qui peut modifier ces enregistrements peut, en principe, autoriser son propre serveur à écrire au nom de l’entreprise : les messages passent alors les contrôles qui envoient d’ordinaire les faux dans les indésirables. Le même accès permet aussi de rediriger un sous-domaine vers un site contrôlé par l’attaquant. C’est pourquoi une clé DNS qui fuite est plus dangereuse qu’un simple domaine imité : le message peut paraître authentique au filtre comme au lecteur.
Rien de tout cela n’atteint l’appareil. Un Passport garde ses clés hors ligne, et aucun e-mail, enregistrement DNS ou page web ne peut déplacer des fonds sans la phrase de récupération du propriétaire ou l’appareil lui-même. C’est précisément la brèche que le phishing cherche à combler, en poussant le propriétaire à saisir sa phrase sur un site. Notre guide pour protéger sa seed phrase explique pourquoi cette phrase ne doit jamais être saisie ailleurs que sur l’appareil.
Passport, dernier portefeuille matériel visé en 2026 par un phishing nourri de données clients
Foundation n’est pas le premier fabricant cette année dont les appareils ont tenu bon alors que les systèmes autour d’eux cédaient. La plupart des cas de 2026 sont passés par des boutiques, des partenaires de livraison, des outils d’e-mailing ou des applications, et chaque fuite a alimenté une nouvelle vague de faux messages.
En janvier, Ledger a confirmé qu’une faille chez Global-e, le partenaire de commerce en ligne qui gère ses ventes en devise locale, avait exposé les noms, coordonnées et détails de commande de clients, selon The Register ; Global-e a commencé à prévenir les clients le 5 janvier. Ledger et Global-e disent que les phrases de récupération et les fonds n’étaient pas touchés. Ledger avait déjà connu cela en 2020, quand une fuite d’adresses d’acheteurs avait entraîné des années d’e-mails, d’appels et de courriers frauduleux.
Coldcard fait figure d’exception. Fin juillet et en août, une faille de ses appareils a provoqué de vrais vols. Galaxy Research a compté 1 596 BTC volés de façon confirmée, à partir d’environ 7 300 adresses, et jusqu’à environ 2 055 BTC en incluant les cas soupçonnés, selon ForkLog le 4 août. De faux e-mails ont suivi. Le 2 août, Foundation avait elle-même averti sur X avoir vu des e-mails de phishing usurpant son nom après l’incident Coldcard. Des acheteurs ont depuis poursuivi Coinkite, comme nous l’avons raconté dans notre article sur l’action collective contre Coldcard à Toronto.
Trezor a connu deux incidents. En août, la société a dit qu’une faille chez son partenaire logistique ShipMonk avait exposé les données de 11 742 clients, puis, début septembre, elle a ajouté 67 000 clients américains de plus dont les noms, adresses e-mail, numéros de téléphone, adresses de livraison et numéros de commande avaient fuité, selon Bitcoin Magazine. Le 9 septembre, un message envoyé via un prestataire d’e-mailing tiers compromis est parvenu à des clients depuis le domaine même de Trezor, sous l’objet « Critical Security Alert: STM32 Entropy Vulnerability », a rapporté Decrypt. Selon Bitcoin Magazine le 10 septembre, Trezor a mis en cause une faille chez son prestataire de newsletters Brevo et déclaré que 347 000 clients avaient reçu le message, qu’elle avait coupé le domaine au niveau du DNS en 20 minutes, et que 2 500 personnes avaient cliqué avant.
Octobre en a apporté deux autres. Des utilisateurs de Ngrave ont perdu environ 2,56 millions de dollars, un chiffre que l’entreprise qualifie de minimum, après une fausse alerte envoyée via sa propre application le 17 octobre, d’après le rapport d’incident de Ngrave, comme nous l’avons rapporté dans notre article sur le vol lié à l’alerte Ngrave. Puis Keystone a annoncé le 24 octobre que sa boutique en ligne avait laissé fuiter les noms, coordonnées, adresses de livraison et commandes de ses acheteurs, comme détaillé dans notre article sur la fuite de données chez Keystone.
| Date (2026) | Fabricant | Ce qui a été exposé ou détourné | Fonds perdus |
|---|---|---|---|
| Janvier | Ledger | Noms, contacts et commandes de clients chez le partenaire Global-e | Aucune perte signalée du fait de la fuite |
| Juillet à août | Coldcard | Faille des appareils, puis vagues de phishing | 1 596 BTC confirmés (Galaxy Research) |
| Août | Trezor | Données clients et de livraison chez le partenaire ShipMonk | Aucune perte signalée du fait de la fuite |
| 9 septembre | Trezor | Phishing envoyé depuis son domaine via le prestataire d’e-mailing Brevo | Non précisé ; 2 500 clics (Trezor, via Bitcoin Magazine) |
| 17 octobre | Ngrave | Fausse alerte envoyée via son application | Au moins 2,56 millions de dollars (Ngrave) |
| 24 octobre | Keystone | Données de la boutique en ligne : noms, adresses, commandes | Aucune perte signalée |
| 26 octobre | Foundation | E-mails que Foundation attribue à des clés Cloudflare compromises ; des destinataires y trouvent leur adresse | Aucune perte signalée |
Le cas de Passport est le plus proche de l’épisode Trezor de septembre : dans les deux, la société dit que les messages semblaient venir de ses propres domaines, ce qui les rend bien plus difficiles à repérer qu’un domaine imité. La différence, pour l’instant, est que Trezor avait donné un nombre de destinataires et une heure de coupure du domaine en moins d’une journée. Foundation n’a donné ni l’un ni l’autre.
Que faire quand on possède un Passport
Le bandeau de Foundation rappelle la règle de base : ne cliquez pas sur les liens de ces e-mails et ne communiquez jamais une phrase de récupération. Au-delà, les gestes ci-dessous découlent de la façon dont les fuites précédentes se sont déroulées.
- Considérez comme faux tout message évoquant un rappel de produit, une faille de sécurité ou des fonds en danger, tant qu’il n’apparaît pas sur foundation.xyz ou sur le compte @FoundationHQ.
- Vérifiez le domaine de l’expéditeur lettre par lettre ; un témoignage montrait doundation.xyz à la place de foundation.xyz.
- Attendez-vous à des relances par SMS, par téléphone ou par courrier, puisque les expéditeurs semblent détenir des adresses postales et, parfois, des numéros de téléphone.
- Si vous avez saisi votre phrase de récupération sur un site, considérez-la comme connue : créez un nouveau portefeuille avec une nouvelle phrase et déplacez-y vos fonds.
- En France, vous pouvez signaler le message et demander de l’aide sur cybermalveillance.gouv.fr.
Pour les acheteurs établis dans l’Union européenne, le règlement général sur la protection des données (RGPD) s’applique aux sociétés qui vendent à des résidents européens, y compris américaines, et impose au responsable du traitement de notifier l’autorité de protection des données dans les 72 heures après avoir pris connaissance d’une violation de données personnelles. Aucune source ne dit que Foundation a notifié une autorité, et la société n’a pas confirmé de violation de données. Les lecteurs en France peuvent saisir la CNIL s’ils estiment que leurs données ont été utilisées à mauvais escient.
La suite dépend du rapport de Foundation. Tant qu’il n’aura pas dit d’où venaient les adresses, les propriétaires peuvent partir du principe que l’auteur des e-mails détient leur nom, leur adresse e-mail et leur adresse postale.