Foundation, Kendi Alan Adlarından Gönderilen Kimlik Avı E-postalarının Ardından Tüm Cloudflare API Anahtarlarını İptal Etti

Sahte Geri Çağırma E-postaları Passport Sahiplerini Vurdu

Foundation, kendi müşterilerine yönelik bir kimlik avı (phishing) girişimini pazartesi sabahı erken saatlerde durdurdu. Şirket, X üzerindeki açıklamasında spam e-postaların resmi alan adlarından gönderildiğini ve sızmanın bir ya da birkaç ele geçirilmiş Cloudflare API anahtarına dayandığını doğruladı. Şirketin X açıklaması, spam e-postaların resmi Foundation alan adlarından geliyor gibi göründüğü tespitiyle başlıyor; ardından alınan önlemleri sıralıyor: tüm API anahtarları iptal edildi ve spamde geçen kötü amaçlı alan adı kapatıldı. Foundation, yalnızca Bitcoin'e özel donanım cüzdanı Passport'ta tutulan fonların güvende olduğunu ve cihazın kendisinin ele geçirilmediğini de ekliyor. Passport, coin hareketlerini yetkilendiren anahtarları çevrimdışı tutuyor; cihazın tehlikede olduğunu iddia eden bir e-posta tam da bu varsayıma saldırıyor. Mesajlar 25 Ekim Pazar günü, aciliyet taşıyan bir geri çağırma başlığı altında alıcılara ulaştı. E-postalarda bir tedarikçinin ekran modülünü değiştirdiği, saldırganların etkilenen cihazlardan fonları boşalttığı iddia ediliyor ve alıcılara yedek cihaz beklememeleri baskısı yapılıyordu. Gömülü bağlantı, Foundation'ın eşlik eden cüzdan uygulaması Envoy'u taklit eden foundation.support adlı sahte bir siteye gidiyordu. Sayfa, para yatırma düğmesiyle boş bir cüzdan gösteriyordu; bu düzenek, ziyaretçileri saldırganların kontrolündeki bir adrese Bitcoin (BTC) göndermeye ikna etmek için kurulmuştu. Gönderilecek olan, çoğu zaman sahiplerinin yıllarca soğuk depoda HODL yapmak amacıyla aldığı coinlerdi. Kapak hikâyesi inanılmak üzere seçilmişti. 2026 boyunca kurcalanmış donanım cüzdanı ihbarları dolaşımdaydı; bu yüzden üreticisinden geliyor gibi görünen bir tedarik zinciri uyarısı inandırıcı duruyordu. Foundation, Passport'u Bitcoin maksimalizmi geleneğinde katı biçimde tek coinli bir cihaz olarak geliştiriyor ve müşterileri, daha geniş Bitcoin ekosisteminin kendini koruma kanadında yer alıyor; sahte geri çağırmanın korkutması tasarlanan kitle de tam olarak bu. Böyle bir kullanıcı tabanı, geri çağırma bildirimini spam gürültüsü olarak değil, birikimlerine doğrudan yöneltilmiş bir tehdit olarak okuyor. Bildirim, e-posta dalgası alıcılara ulaştıktan bir sabah yayınlandı.

Cevapsız Kalan Müşteri Verisi Sorusu

İptal edilen anahtarlar, postanın nasıl gittiğini açıklıyor. Ama gönderenin Passport sahibini nasıl bildiğini açıklamıyor. Birkaç alıcı, duyuruya yanıt olarak çalınan API anahtarlarının mesajlardaki kişisel detayları açıklayamayacağını belirtti: isimler, telefon numaraları ve ev posta adresleri. Bir kullanıcı, e-postanın Foundation'ın gerçek alan adındaki bir adres olan jobs@foundation.xyz'ten geldiğini ve iki yıl önce satın alınan bir cüzdana bağlı posta adresiyle birlikte tam adını taşıdığını bildirdi. Başka bir kullanıcı ise e-postanın iki sürümünün dolaştığını söyledi: müşterilere tam sipariş detaylı mesajlar giderken, eski iş başvuru sahipleri yalnızca kendi isimlerini içeren mesajlar almış. Foundation'ın geçmişi soruyu daha da keskinleştiriyor. Şirket 2022'de bir X dizisinde, üçüncü taraf riskini sınırlandırmak için destek sohbetlerini ve e-posta pazarlama aracını kendi sunucularında barındırdığını söylemiş, aynı dizide müşteri verisinin sipariş kargolandıktan 60 gün sonra silindiğini eklemişti. Her iki iddia da şimdi açık bir sorunun merkezinde duruyor, çünkü pazar günkü postalar yıllar önce kargolanmış siparişlere ait teslimat verileri taşıyordu. Foundation, müşteri veritabanının ele geçirilip geçirilmediği konusunda henüz bir şey söylemedi. Şirket, en kısa sürede eksiksiz bir rapor yayınlayacağını belirtiyor. Maruziyet tek bir kampanyanın ötesinde önem taşıyor. Daha önceki müşteri verisi sızıntılarından sonra Ledger alıcıları sahte mektuplar postayla almıştı; bu, tehdidi gelen kutusundan kapı önüne taşıdı. CertiK, coin sahiplerinin fiziksel zorlamaya maruz kaldığı sözde anahtar saldırılarının 2026'da rekor seviyeye ulaşabileceği öngörüsünde; bir ev adresi listesinin donanım cüzdanı sahipleriyle eşleşmiş hali, ister kripto balinası ister sıradan bir alıcı olsun, bu tür suçların gerektirdiği hedef tablosudur.

Bildirimin Açıkta Bıraktığı Noktalar

Birincil kaydı, yani Foundation'ın X üzerindeki kendi açıklamalarını okuyuşumuz şöyle: şirket teslimat sorusunu yanıtladı, veri sorusunu açık bıraktı. Bildirim, mesajların nasıl gönderildiğini açıklıyor ve sahte sitenin kapalı olduğunu doğruluyor. Ancak saldırganların isimleri, telefon numaraları ve adresleri tek bir cihazın sahipleriyle nasıl eşleştirdiğini söylemiyor; ne de şirketin kargodan 60 gün sonra sildiğini söylediği kayıtların bu süreyi gerçekte aşıp aşmadığını. Kayıtta, Passport'un imzalama donanımının ele geçirildiğine ya da bir tekrar oynatma saldırısına işaret eden hiçbir bulgu yok; bildirilen risk kimlik verisinde duruyor, cihazın kendisinde değil. Pazartesi sona eren şey sahte geri çağırma sitesiydi. Onunla birlikte ortaya çıkan bulgu ise, yıllar önce kargolanmış siparişlere bağlı teslimat detaylarının hâlâ dolaşımda olduğuydu; Foundation'ın söz verdiği eksiksiz rapor bundan sonraki sabit nokta.