Phishing : de faux e-mails Foundation visent les détenteurs du wallet Bitcoin Passport
Rappel produit, version arnaque. Des clients de Foundation, le fabricant du hardware wallet Bitcoin Passport, ont reçu dans la nuit de dimanche à lundi un faux « avis de rappel urgent ». Le message partait des domaines officiels de la marque. L’entreprise accuse des clés API Cloudflare compromises et assure que les bitcoins stockés sur ses appareils ne risquent rien.
- Foundation a été victime d’une arnaque par phishing, utilisant des clés API Cloudflare compromises, pour envoyer de faux rappels de produits aux clients.
- Les messages frauduleux exploitaient des informations personnelles des clients, suscitant des inquiétudes sur la conservation de ces données par Foundation.
Le faux rappel de Foundation joue sur la panique
Les premiers signalements sont tombés sur le forum communautaire de Foundation vers 4 heures, heure de Paris, ce lundi 26 octobre. En une heure, une vingtaine de clients décrivaient le même message.
Le scénario est un grand classique. Titré « Urgent recall notice », l’e-mail affirme qu’un défaut d’écran du Passport permettrait de vider les fonds des utilisateurs « en ce moment même ». Un bouton « Review your options » propose de régler le problème.
D’après l’analyse publiée par un destinataire, le lien passait d’abord par un redirecteur publicitaire. Il atterrissait ensuite sur une page hébergée sur Arweave, un réseau de stockage décentralisé prisé des escrocs. Par ailleurs, un client dit avoir abouti sur un domaine foundation.support, sans rapport avec la marque. Plusieurs destinataires racontent qu’on les invitait à « créer un wallet » ou un « vault ». Autrement dit, saisir ou générer une phrase de récupération sur une page contrôlée par l’attaquant.
En effet, le piège était soigné. L’expéditeur semblait légitime et le message citait le prénom du client. De plus, certains y ont trouvé leur adresse postale, d’autres leur numéro de téléphone. Un utilisateur précise que l’adresse affichée était celle de facturation, pas celle de livraison.
Foundation accuse des clés API Cloudflare
La réponse est arrivée moins d’une heure plus tard, sur X puis relayée par le support. Foundation y écrit que « des e-mails de spam semblant provenir des domaines officiels de Foundation ont été envoyés ». L’entreprise dit avoir « remonté la piste jusqu’à une ou plusieurs clés API compromises sur Cloudflare ». Elle a donc révoqué toutes ses clés API.
Une clé API fonctionne comme un badge d’accès permettant de piloter un service à distance, ici la configuration des domaines de la marque. Selon le message de Foundation relayé sur son forum, l’entreprise a mis hors ligne le domaine malveillant. Ensuite, la société ajoute que « les fonds stockés sur Passport sont en sécurité » et que le matériel n’est pas compromis. Enfin, Foundation promet un rapport complet « dès que possible ».
Pourtant, des clés Cloudflare expliquent l’envoi depuis les domaines officiels, pas la présence de noms et d’adresses dans les messages. D’ailleurs, sur le forum, plusieurs clients s’étonnent que Foundation conserve encore ces données des années après leur achat. En août 2026 déjà, de faux e-mails « Foundation Devices » visaient les possesseurs de Passport en vantant un prétendu « Enhanced Entropy Protocol ».
Phishing Passport : les réflexes à garder
Si vous avez reçu ce message, ne cliquez pas et supprimez-le. Pour le reste, quelques règles valent pour tous les hardware wallets :
- Les 24 mots de votre phrase de récupération ne se saisissent jamais sur un site, une application ou un formulaire. Aucun fabricant ne les demande.
- Un défaut matériel ne se corrige pas en cliquant sur un lien. Un vrai rappel passe par les canaux officiels et ne réclame jamais de transfert de fonds.
- Les mises à jour de firmware se font uniquement via l’application officielle Envoy ou le site foundation.xyz tapé à la main.
- Vous avez saisi votre seed sur la page piégée ? Considérez le wallet comme perdu et transférez immédiatement les fonds vers un nouveau wallet, créé avec une nouvelle phrase.
- Attendez-vous à des relances par SMS ou par courrier, puisque les attaquants ont des numéros et des adresses.
Les hardwares wallet : la proie des hackers
Les clients de Ledger connaissent la suite. Victime d’un piratage en juillet 2020, le fabricant français a ensuite vu sa base de données fuiter en décembre : environ 1 million d’adresses e-mail et quelque 272 000 fiches avec nom, adresse et téléphone. Puis des années de phishing ont suivi, jusqu’à de fausses lettres Ledger envoyées par la poste en 2025, avec un QR code réclamant la phrase de récupération.
En France, une adresse liée à des cryptos attire désormais des visiteurs moins virtuels. La police judiciaire recensait en avril plus de 40 enlèvements et séquestrations liés aux cryptomonnaies depuis janvier, contre une trentaine sur toute l’année 2025. Les recherches d’une employée du fisc de Bobigny, soupçonnée de vendre des informations, visaient aussi des investisseurs en cryptomonnaies.
À 6 heures ce lundi, Foundation n’avait communiqué ni le nombre de destinataires ni l’origine des données personnelles utilisées, et son rapport n’était pas encore daté.
Magali
Tombée dans le terrier du lapin blanc en 2017, je suis passée de lectrice assidue à Rédactrice en chef du Journal du Coin. J’aime m'investir dans les coulisses de projets pour porter ma vision d'un futur décentralisé. Amoureuse des belles lettres, je coordonne nos équipes pour transformer la complexité technique en une information humaine, précise et sans jargon inutile. Entre entrepreneuriat et rédaction, ma mission est claire : vulgariser demain, mais le faire aujourd'hui.