Foundation Passport : 23 000 e-mails d’hameçonnage sont partis des systèmes du fabricant de portefeuilles

Si vous possédez un portefeuille matériel de Foundation, vous avez peut-être reçu ces derniers jours un e-mail qui ressemblait à un courrier du fabricant : bon domaine d’expéditeur, bon nom, bonne formule d’appel. Ce n’en était pas un. Foundation, le fabricant américain du portefeuille bitcoin Passport, a reconnu dans un courrier aux clients daté du 29 octobre 2026 que des attaquants avaient eu accès à une partie de son infrastructure dorsale et avaient envoyé des e-mails d’hameçonnage depuis celle-ci. Selon le fabricant, l’appareil rangé dans votre tiroir n’est pas concerné. Votre adresse et votre numéro de téléphone le sont peut-être.

C’est le quatrième cas de ce type en trois mois, et le schéma se répète : ce n’est pas le portefeuille qui est attaqué, mais la boutique qui le vend, le prestataire qui l’expédie ou le système de messagerie qui écrit aux clients. Ce qui fuit ne peut être ni récupéré ni remplacé. Une adresse personnelle reste une adresse personnelle.

Foundation fait état de 23 000 tentatives d’hameçonnage et de deux canaux d’envoi

Dans le courrier adressé à ses clients le 29 octobre 2026, consultable sur son forum communautaire, l’entreprise fait état de plus de 23 000 tentatives d’e-mails d’hameçonnage. Selon son propre décompte, 19 057 sont passées par le service d’envoi Mailgun et 1 503 par Google Workspace. Ce sont deux systèmes que Foundation utilise lui-même pour communiquer avec ses clients.

Un chiffre de ce décompte mérite une attention particulière : plus de 5 000 des adresses ayant reçu des e-mails d’hameçonnage ne figurent pas du tout dans le fichier clients du fabricant. Foundation l’écrit lui-même. Les attaquants ont donc injecté, au-delà de la liste de clients, des adresses d’une autre provenance. Qui a reçu un tel e-mail n’est donc pas forcément client, et qui est client n’en a pas forcément reçu.

Selon ses dires, l’entreprise a révoqué les identifiants concernés et toutes les clés, supprimé les messages d’hameçonnage encore en attente dans les files, mis hors ligne les anciens systèmes touchés et sécurisé les preuves. Un rapport d’incident détaillé est annoncé, mais n’était pas disponible à la clôture de cet article. Les informations de cette section reposent sur le courrier de Foundation à ses clients du 29 octobre 2026.

L’intrusion est passée par une application auto-hébergée, pas par le micrologiciel du Passport

Foundation avait d’abord attribué la vague d’e-mails à des clés d’API compromises chez Cloudflare. Une clé d’API est une chaîne de caractères qui permet à un programme de se connecter à un service sans qu’un humain saisisse de mot de passe ; qui la détient agit auprès du service comme l’exploitant légitime. L’exposé ultérieur du 29 octobre s’est révélé plus précis : selon l’entreprise, les attaquants ont pénétré une partie de l’infrastructure dorsale par une faille dans une application auto-hébergée.

Auto-hébergé signifie qu’un logiciel tourne sur un serveur de l’entreprise plutôt que dans le cloud du fournisseur, et que la société doit le maintenir à jour elle-même. Cette pratique est prisée des entreprises qui veulent confier peu de données à des tiers, et elle procède de la même logique qui conduit de nombreux utilisateurs de cryptos à conserver eux-mêmes leurs clés. Le revers est le même dans les deux cas : qui exploite lui-même doit aussi assurer lui-même les mises à jour de sécurité.

Sur la question qui préoccupe le plus les propriétaires, la déclaration du fabricant est sans ambiguïté. Foundation affirme qu’aucun indice ne montre que cet incident a compromis les appareils Passport ou les clés privées qu’ils renferment. Cela correspond à la conception de l’appareil : un portefeuille matériel conserve la clé privée dans une puce qui ne la divulgue jamais, et il ne dispose d’aucune connexion réseau par laquelle quelqu’un pourrait s’y connecter de l’extérieur. Ce qui protège votre solde en bitcoins n’a techniquement rien à voir avec la boutique en ligne du fabricant. Notre prévision du cours du bitcoin indique où en est la monnaie que conserve le Passport.

5 600 adresses postales et 5 200 numéros de téléphone se trouvaient dans des systèmes accessibles

Foundation chiffre l’ampleur des données concernées à environ 5 600 adresses postales et environ 5 200 numéros de téléphone, auxquels s’ajoutent des noms et des adresses e-mail. Ces données proviennent d’un ancien système de boutique. L’entreprise ajoute une réserve plus franche que les formules habituelles de ce type de courrier : elle ne peut pas affirmer avec certitude que les attaquants ont consulté tous ces enregistrements.

Cette franchise est inconfortable pour les personnes concernées, mais utile. Inconfortable, parce que vous n’obtenez aucune certitude. Utile, parce que vous pouvez dès lors partir du pire scénario sans vous juger trop prudent. Selon le fabricant, les données de paiement n’en font pas partie, et les phrases de récupération n’y ont de toute façon jamais figuré, car aucun fabricant sérieux ne les voit jamais.

Pourquoi SPF, DKIM et DMARC n’ont rien signalé lors de cette attaque

Les procédés sur lesquels s’appuient les logiciels de messagerie pour détecter les faux expéditeurs sont restés muets ici pour une raison simple. SPF indique dans le système de noms de domaine quels serveurs sont autorisés à envoyer des e-mails pour un domaine. DKIM appose sur chaque e-mail une signature cryptographique du serveur d’envoi. DMARC précise ce que le destinataire doit faire si l’un des deux ne concorde pas.

Toutes ces vérifications cherchent à savoir si un e-mail provient réellement du système rattaché au domaine. C’était précisément le cas ici. Les messages sont passés par Mailgun et Google Workspace, c’est-à-dire par les canaux d’envoi habituels du fabricant, et étaient donc correctement signés et correctement autorisés. Aucun filtre ne peut deviner, à la vue d’un e-mail proprement signé, que la personne derrière le compte d’envoi n’était pas un salarié.

Concrètement, la règle empirique répandue consistant à regarder l’adresse de l’expéditeur échoue totalement dans cette catégorie de cas. Nous avons déjà décortiqué le problème lors d’un autre incident, lorsque des e-mails d’hameçonnage provenaient d’un véritable domaine d’expéditeur. Ce qui reste fiable alors, c’est uniquement le contenu de l’e-mail.

Le quatrième fabricant de portefeuilles matériels en trois mois

Le cas Foundation n’est pas isolé, et c’est là le véritable constat. En août 2026, Trezor a signalé une fuite de données qui touchait, selon les chiffres communiqués alors par l’entreprise, près de 14 000 clients ; les attaquants s’étaient introduits chez le prestataire logistique ShipMonk, qui expédie les colis. Le même mois, c’était au tour du fabricant SafePal. Le 20 octobre 2026, quelqu’un a accédé à la boutique en ligne de Keystone ; le fabricant a confirmé l’incident trois jours plus tard et cité les noms, coordonnées, adresses de livraison et détails de commande parmi les données dérobées. Les chiffres sur l’ampleur divergent, comme nous l’avons exposé dans notre article du 25 octobre 2026 sur la fuite de données confirmée chez Keystone : une version évoque 25 964 acheteurs concernés, une autre 18 835 appareils.

Quatre fabricants, quatre points d’entrée différents, un dénominateur commun. C’est à chaque fois la périphérie qui a été attaquée : logiciel de boutique, partenaire d’expédition, système de messagerie, ancien système. Le choix de la cible se comprend. La puce d’un portefeuille matériel coûte cher à attaquer et rapporte un appareil par attaque. Une base de commandes coûte peu à attaquer et rapporte dix mille adresses de personnes qui possèdent de façon avérée des crypto-actifs et les conservent elles-mêmes. Pour un attaquant en quête de victimes, c’est la liste la plus précieuse qui soit.

Les fabricants ne sont pas pour autant dédouanés, mais ils se trouvent dans une position inconfortable. Construire un appareil de protection des clés privées exige une autre discipline que gérer une boutique en ligne avec logistique d’expédition et lettre d’information. Les fabricants cités maîtrisent manifestement la première. Pour la seconde, quatre preuves sont désormais sur la table qu’il leur reste du travail.

L’adresse de livraison est la donnée qu’on ne peut pas récupérer

On change un mot de passe en une minute. La banque bloque une carte de crédit et en envoie une nouvelle. Avec une adresse personnelle et un numéro de téléphone, cette logique s’arrête. Les deux restent valables tant que vous habitez là et utilisez cet appareil, et les deux figurent désormais dans un enregistrement qui dit explicitement : cette personne a acheté un portefeuille matériel.

C’est ce lien qui fait la différence avec une fuite ordinaire chez un commerçant. Que quelqu’un ait acheté des chaussures de course n’intéresse personne. Que quelqu’un ait acheté un appareil dont la seule fonction est de conserver des crypto-actifs constitue une présélection qu’un attaquant ne pourrait pas faire seul. Il en découle deux modes d’attaque, tous deux déjà observés. Le premier est l’hameçonnage par courrier postal : une lettre au bon nom et à la bonne adresse paraît bien plus crédible qu’un e-mail, et qui scanne le code QR d’une lettre vérifie rarement où il mène. Le second est l’accès physique, que le secteur désigne d’après l’outil dont il menace.

Ce second risque est rare, et ce n’est pas une raison de paniquer. C’est en revanche une raison de passer calmement en revue sa propre conservation. Cela inclut la question de savoir si vos avoirs doivent vraiment se trouver sur un seul appareil, ou si une répartition est plus judicieuse. Notre comparatif des portefeuilles matériels présente les appareils disponibles en Allemagne et leurs différences. Un détail aide aussi en pratique, et ne coûte rien lors du prochain achat : un point relais ou une adresse de livraison qui n’est pas votre domicile.

L’arnaque en détail : le faux rappel d’appareils

Selon l’entreprise, les e-mails envoyés via les systèmes de Foundation s’appuyaient sur un prétendu rappel des appareils et sur l’invitation à déplacer des fonds. Le montage est habile, car il reproduit une procédure réelle : les rappels existent, les fabricants contactent effectivement leurs clients, et un problème de sécurité sur son propre appareil est exactement le genre de message face auquel un propriétaire ne réfléchit pas longtemps.

La fraude se niche dans l’étape suivante. Un rappel signifie normalement qu’un appareil est renvoyé ou remplacé. Il ne signifie jamais que vous transférez votre solde quelque part, ni que vous saisissez votre phrase de récupération quelque part. C’est pourtant précisément le but : avec douze ou vingt-quatre mots, n’importe quel solde peut être vidé en quelques minutes, depuis n’importe quel ordinateur au monde, sans même avoir besoin de l’appareil.

Un deuxième signe révélateur est l’urgence. Toute formulation qui fixe un délai de quelques heures ou invoque un risque imminent poursuit le même but : vous faire agir avant de vous renseigner. Les fabricants et les autorités sérieux ne fixent pas de délais de quelques heures. L’Office fédéral allemand de la sécurité des technologies de l’information (BSI) a rassemblé les caractéristiques typiques de ces messages sur ses pages consacrées au spam et à l’hameçonnage.

Ce qu’aucun fabricant ne demande jamais : phrase de récupération, code PIN et phrase secrète

Dans son courrier, Foundation formule un engagement qui vaut mot pour mot pour tout autre fabricant : l’entreprise ne demandera jamais la phrase de récupération, le code PIN ou la phrase secrète, et ne demandera jamais de déplacer des fonds. On peut en tirer une règle qui fonctionne sans connaissances techniques et qu’aucun faux expéditeur ne peut contourner.

La phrase de récupération, souvent appelée seed phrase, est la liste de douze ou vingt-quatre mots à partir de laquelle chaque clé privée de votre portefeuille peut être recalculée. Qui la connaît possède le solde ; l’appareil n’est alors plus qu’un morceau de plastique. Le code PIN verrouille l’appareil contre tout accès étranger, la phrase secrète (passphrase) est un mot supplémentaire qui crée, à partir de la même phrase de récupération, un compte supplémentaire caché.

Aucune de ces trois informations ne se saisit jamais en ligne. Une phrase de récupération ne se saisit que dans l’appareil lui-même, par ses propres touches, et nulle part ailleurs. Tout site web, tout formulaire, toute fenêtre de discussion et tout prétendu agent du support qui la demande se trahit ainsi, aussi authentique que paraisse l’adresse d’où provient la demande. Cette seule règle aurait suffi dans chacun des quatre cas des trois derniers mois.

Il importe aussi de savoir ce que vous n’avez pas à faire après un tel incident. Une fuite de données chez le fabricant n’est pas une raison de changer de phrase de récupération. Cette phrase n’a jamais figuré dans le système de la boutique, et la changer revient à créer un nouveau compte et à y transférer l’intégralité du solde, avec toutes les sources d’erreur et tous les frais que cela implique. Qui s’y précipite par nervosité crée le risque même qu’il voulait éviter.

Vos droits au titre des articles 15 et 34 du RGPD

Pour les personnes concernées en Allemagne, l’incident relève non seulement de la sécurité, mais aussi de la protection des données. Le règlement général sur la protection des données s’applique à toute entreprise qui vend des biens à des clients dans l’UE, même si elle a son siège aux États-Unis.

L’article 15 vous confère un droit d’accès : vous pouvez exiger de Foundation qu’elle vous indique quelles données personnelles elle conserve à votre sujet. L’article 34 oblige une entreprise à informer les personnes concernées d’une violation de données lorsque celle-ci présente pour elles un risque élevé. Le courrier aux clients du 29 octobre remplit formellement cette fonction. Qui n’a reçu aucune notification mais a acheté chez ce fabricant peut se renseigner, dans le même e-mail que celui par lequel il exerce son droit d’accès au titre de l’article 15.

Si une entreprise ne répond pas à une telle demande dans un délai d’un mois, vous pouvez déposer une plainte auprès d’une autorité de contrôle. En Allemagne, l’autorité compétente est celle de protection des données du Land où vous résidez ; les adresses figurent sur le site du commissaire fédéral à la protection des données. Une demande de dommages et intérêts au titre de l’article 82 est juridiquement possible dans ces cas, mais suppose un préjudice concrètement démontrable, et selon la jurisprudence actuelle, le seul fait que des données aient fuité ne suffit pas.

Fuites chez les fabricants de portefeuilles : quatre fabricants, aucune clé privée touchée

Le constat de cette année est à la fois désagréable et rassurant. Désagréable, parce que les données clients de quatre fabricants de portefeuilles matériels sont tombées en de mauvaises mains en trois mois, et que rien ne peut plus y changer. Rassurant, parce que dans aucun de ces cas une clé privée ou une phrase de récupération n’a été touchée. Les appareils ont tenu leurs promesses. C’est le commerce qui les entoure qui a cédé.

1. Passez calmement votre conservation en revue. Vérifiez si l’ensemble de vos avoirs se trouve sur un seul appareil, si la phrase de récupération n’est conservée qu’à un seul endroit et si cet endroit est protégé contre le feu et l’eau. Le comparatif des portefeuilles matériels présente les appareils disponibles en Allemagne et leurs différences.
2. Décidez sciemment de la part que vous mouvementez chaque jour. Pour de petits montants souvent en mouvement, un portefeuille logiciel est l’outil le plus adapté, tandis que l’appareil conserve les avoirs de long terme. Le comparatif des portefeuilles logiciels en montre les différences.
3. Déterminez quelle part doit réellement être conservée par vous-même. Qui négocie régulièrement a de toute façon besoin d’un compte chez un prestataire supervisé ; le panorama des plateformes crypto réglementées indique quelles plateformes opèrent en Allemagne avec un agrément MiCA.

(Au 1er novembre 2026. Cet article ne constitue pas un conseil en investissement. Les cours et les grilles tarifaires évoluent ; vérifiez les conditions auprès du prestataire avant tout achat.)