Foundation Passport: 23.000 phishingmails kwamen uit de systemen van de walletmaker

Wie een hardware wallet van Foundation bezit, heeft de afgelopen dagen mogelijk een mail gekregen die eruitzag als post van de fabrikant: juist afzenderdomein, juiste naam, juiste aanhef. Dat was het niet. Foundation, de Amerikaanse maker van de bitcoinwallet Passport, heeft in een klantenbrief van 29 oktober 2026 toegegeven dat aanvallers toegang hadden tot een deel van de backend-infrastructuur en van daaruit phishingmails verstuurden. Het apparaat in je la is volgens de fabrikant niet getroffen. Je adres en je telefoonnummer mogelijk wel.

Het is het vierde geval van deze soort binnen drie maanden, en het patroon herhaalt zich: aangevallen wordt niet de wallet, maar de winkel die hem verkoopt, de dienstverlener die hem verstuurt of het mailsysteem dat de klanten aanschrijft. Wat daarbij uitlekt, is niet terug te halen en niet te vervangen. Een woonadres blijft een woonadres.

Foundation noemt 23.000 phishingpogingen en twee verzendroutes

In de brief die Foundation op 29 oktober 2026 aan klanten stuurde en die op het eigen communityforum na te lezen is, noemt het bedrijf meer dan 23.000 pogingen met phishingmails. Daarvan liepen er volgens eigen telling 19.057 via de mailverzenddienst Mailgun en 1.503 via Google Workspace. Beide zijn systemen die Foundation zelf voor zijn klantcommunicatie gebruikt.

Eén getal in dit overzicht verdient bijzondere aandacht: meer dan 5.000 van de adressen waar phishingmails naartoe gingen, komen helemaal niet voor in de klantgegevens van de fabrikant. Foundation schrijft dat zelf. De aanvallers hebben dus naast de klantenlijst ook adressen van elders ingevoerd. Wie zo'n mail heeft gekregen, is daarmee niet per se klant, en wie klant is, heeft er niet per se een gekregen.

Het bedrijf heeft naar eigen zeggen de getroffen inloggegevens en alle sleutels ingetrokken, nog wachtende phishingberichten uit de wachtrijen verwijderd, de getroffen oude systemen offline gehaald en bewijs veiliggesteld. Een uitgebreid incidentrapport is aangekondigd, maar lag bij het afronden van dit artikel nog niet voor. De gegevens in deze paragraaf zijn gebaseerd op de klantenbrief van Foundation van 29 oktober 2026.

De inbraak liep via een zelf gehoste applicatie, niet via de Passport-firmware

Aanvankelijk had Foundation de mailgolf herleid tot gecompromitteerde API-sleutels bij Cloudflare. Een API-sleutel is een tekenreeks waarmee een programma zich bij een dienst aanmeldt zonder dat een mens een wachtwoord intypt; wie hem bezit, treedt tegenover de dienst op als de rechtmatige beheerder. In de latere uiteenzetting van 29 oktober viel de beschrijving preciezer uit: de aanvallers kwamen volgens het bedrijf via een kwetsbaarheid in een zelf gehoste applicatie in een deel van de backend-infrastructuur.

Zelf gehost betekent dat software op een server van het bedrijf draait in plaats van bij de aanbieder in de cloud, en dat het bedrijf die zelf up-to-date moet houden. Dat is populair bij bedrijven die weinig data aan derden willen geven, en het volgt dezelfde gedachte waarom veel cryptogebruikers hun sleutels zelf bewaren. De keerzijde is in beide gevallen dezelfde: wie zelf beheert, moet ook zelf de beveiligingsupdates bijhouden.

Over de vraag die bezitters het meest bezighoudt, is de verklaring van de fabrikant eenduidig. Foundation stelt dat er geen aanwijzingen zijn dat dit incident Passport-apparaten of de daarin bewaarde private keys heeft gecompromitteerd. Dat past bij de bouw van het apparaat: een hardware wallet houdt de private key in een chip die hem nooit afgeeft, en heeft geen netwerkverbinding waarlangs iemand van buitenaf kan inloggen. Wat je bitcointegoed beveiligt, heeft technisch niets te maken met de webwinkel van de fabrikant. Waar de koers van de munt die Passport bewaart nu staat, laat onze Bitcoin koers verwachting zien.

5.600 postadressen en 5.200 telefoonnummers lagen in bereikbare systemen

Foundation becijfert de omvang van de getroffen gegevens op zo'n 5.600 postadressen en zo'n 5.200 telefoonnummers, plus namen en e-mailadressen. Deze gegevens komen uit een ouder winkelsysteem. Het bedrijf voegt een kanttekening toe die openhartiger is dan de gebruikelijke formuleringen in zulke brieven: het kan niet met zekerheid zeggen of de aanvallers al deze records hebben opgevraagd.

Die openheid is voor getroffenen ongemakkelijk, maar bruikbaar. Ongemakkelijk, omdat je geen zekerheid krijgt. Bruikbaar, omdat je daardoor van het slechtere geval mag uitgaan zonder jezelf overdreven voorzichtig te hoeven vinden. Betaalgegevens horen er volgens de fabrikant niet bij, en herstelzinnen lagen daar sowieso nooit, omdat geen serieuze fabrikant ze ooit te zien krijgt.

Waarom SPF, DKIM en DMARC bij deze aanval niets meldden

De methoden waarop mailprogramma's vertrouwen om vervalste afzenders te herkennen, bleven hier om een eenvoudige reden stil. SPF legt in het domeinnaamsysteem vast welke servers namens een domein mail mogen versturen. DKIM voorziet elke mail van een cryptografische handtekening van de verzendende server. DMARC bepaalt wat de ontvanger moet doen als een van beide niet klopt.

Al die controles vragen of een mail echt uit het systeem komt dat bij het domein hoort. Precies dat was hier het geval. De berichten liepen via Mailgun en Google Workspace, dus via de reguliere verzendroutes van de fabrikant, en waren daarmee correct ondertekend en correct geautoriseerd. Geen filter kan aan een netjes ondertekende mail zien dat de persoon achter het verzendaccount geen medewerker was.

In de praktijk betekent dat: de gangbare vuistregel om naar het afzenderadres te kijken, faalt in deze categorie volledig. Wat dan nog werkt, is alleen de inhoud van een mail.

De vierde aanbieder van hardware wallets binnen drie maanden

Het geval Foundation staat niet op zichzelf, en dat is de eigenlijke bevinding. In augustus 2026 meldde Trezor een datalek dat volgens de toenmalige opgave van het bedrijf bijna 14.000 klanten trof; de aanvallers waren daarbij binnengedrongen bij logistiek dienstverlener ShipMonk, die de pakketten verstuurt. In dezelfde maand trof het aanbieder SafePal. Op 20 oktober 2026 verschafte iemand zich toegang tot de webwinkel van Keystone; de fabrikant bevestigde het incident drie dagen later en noemde namen, contactgegevens, leveradressen en bestelgegevens als uitgelekt. De opgaven over de omvang lopen daar uiteen: één versie spreekt van 25.964 getroffen kopers, een andere van 18.835 apparaten.

Vier aanbieders, vier verschillende toegangspunten, één gemeenschappelijke noemer. Aangevallen werd elke keer de periferie: winkelsoftware, verzendpartner, mailsysteem, oud systeem. Dat is een begrijpelijke doelkeuze. De chip in een hardware wallet is duur om aan te vallen en levert per aanval één apparaat op. Een bestellingendatabase is goedkoop om aan te vallen en levert tienduizend adressen op van mensen die aantoonbaar crypto bezitten en die aantoonbaar zelf bewaren. Voor een aanvaller die slachtoffers zoekt, is dat de waardevolste lijst die er bestaat.

De fabrikanten zijn daarmee niet van hun verantwoordelijkheid ontslagen, maar ze zitten in een lastige positie. Een apparaat bouwen dat private keys beschermt, vraagt een andere discipline dan een webwinkel met verzendafhandeling en nieuwsbrief runnen. De eerste discipline beheersen de genoemde aanbieders duidelijk. Bij de tweede liggen inmiddels vier bewijzen op tafel dat er nog werk te doen is.

Het leveradres is het gegeven dat niet terug te halen is

Een wachtwoord verander je in een minuut. Een creditcard blokkeert de bank en stuurt een nieuwe. Bij een woonadres en een telefoonnummer houdt die logica op. Beide blijven geldig zolang je daar woont en dat toestel gebruikt, en beide staan nu in een record dat uitdrukkelijk zegt: deze persoon heeft een hardware wallet gekocht.

Die koppeling maakt het verschil met een gewoon winkellek. Dat iemand hardloopschoenen heeft gekocht, interesseert niemand. Dat iemand een apparaat heeft gekocht waarvan het enige doel het bewaren van crypto is, is een voorselectie die een aanvaller zelf niet zou kunnen maken. Daaruit volgen twee aanvalsroutes die allebei al in de praktijk zijn voorgekomen. De ene is phishing per brief: post met de juiste naam en het juiste adres komt veel geloofwaardiger over dan een mail, en wie een QR-code uit een brief scant, controleert zelden waar die naartoe leidt. De andere is fysieke toegang, in de branche genoemd naar het gereedschap waarmee wordt gedreigd.

Dat tweede risico is zeldzaam, en het is geen reden tot paniek. Het is wel een reden om je eigen bewaring rustig door te lopen. Daarbij hoort de vraag of je bezit wel op één enkel apparaat thuishoort, of dat spreiden zinvoller is. Welke apparaten er zijn en waarin ze verschillen, laat onze vergelijking van hardware wallets zien. In de praktijk helpt bovendien een kleinigheid die bij de volgende aankoop niets kost: een afhaalpunt of een leveradres dat niet je woning is.

De truc in detail: de verzonnen terugroepactie

De mails die via de systemen van Foundation de deur uitgingen, werkten volgens het bedrijf met een zogenaamde terugroepactie van de apparaten en de oproep om tegoeden te verplaatsen. Die constructie is handig in elkaar gezet, omdat ze een echt proces nabootst: terugroepacties bestaan, fabrikanten nemen echt contact op met klanten, en een beveiligingsprobleem met je eigen apparaat is precies het bericht waarbij een bezitter niet lang nadenkt.

Het bedrog zit in de volgende stap. Een terugroepactie betekent normaal gesproken dat een apparaat wordt opgestuurd of vervangen. Ze betekent nooit dat je je tegoed ergens naartoe overmaakt, en ze betekent nooit dat je je herstelzin ergens invoert. Precies dat is echter het doel: met twaalf of vierentwintig woorden kan elk tegoed in minuten worden leeggehaald, vanaf elke computer ter wereld, zonder dat het apparaat zelf daarvoor nodig is.

Een tweede herkenningsteken is tijdsdruk. Elke formulering die een termijn van uren stelt of een acuut risico beweert, heeft hetzelfde doel: je moet handelen voordat je navraag doet. Serieuze fabrikanten en serieuze overheden stellen geen termijnen van uren. Het Bundesamt für Sicherheit in der Informationstechnik (BSI) heeft de typische kenmerken van zulke berichten op zijn consumentenpagina's over spam en phishing op een rij gezet.

Wat geen fabrikant ooit vraagt: herstelzin, pincode en passphrase

Foundation doet in zijn brief een toezegging die letterlijk net zo goed voor elke andere aanbieder geldt: het bedrijf zal nooit vragen naar de herstelzin, de pincode of de passphrase en nooit oproepen om tegoeden te verplaatsen. Daaruit volgt een regel die zonder technische kennis werkt en die geen vervalste afzender kan omzeilen.

De herstelzin, meestal seed phrase of recovery phrase genoemd, is de lijst van twaalf of vierentwintig woorden waaruit elke private key van je wallet opnieuw te berekenen is. Wie hem kent, bezit het tegoed; het apparaat is dan alleen nog een stuk plastic. De pincode vergrendelt het apparaat tegen toegang door anderen, de passphrase is een extra woord dat uit dezelfde herstelzin een extra, verborgen account maakt.

Geen van deze drie gegevens wordt ooit ergens online ingetypt. Een herstelzin hoort uitsluitend in het apparaat zelf, via de eigen knoppen, en nergens anders. Elke website, elk formulier, elk chatvenster en elke zogenaamde supportmedewerker die erom vraagt, valt daarmee door de mand, ongeacht hoe echt het adres eruitziet waarvandaan het verzoek kwam. Deze ene regel was in elk van de vier gevallen van de afgelopen drie maanden genoeg geweest.

Belangrijk is ook wat je na zo'n incident niet hoeft te doen. Een datalek bij de fabrikant is geen reden om de herstelzin te wisselen. Die zin stond nooit in het winkelsysteem, en hem wijzigen betekent een nieuw account aanmaken en het volledige tegoed daarheen overmaken, met alle foutbronnen en kosten die daarbij horen. Wie dat uit nervositeit overhaast doet, creëert juist het risico dat hij wilde vermijden.

Je rechten volgens AVG artikel 15 en artikel 34

Voor getroffenen is het incident naast een veiligheidsvraag ook een privacykwestie. De Algemene verordening gegevensbescherming geldt voor elk bedrijf dat goederen aan klanten in de EU verkoopt, ook als het in de VS gevestigd is.

Artikel 15 geeft je een inzagerecht: je kunt van Foundation verlangen dat het je meedeelt welke persoonsgegevens over jou zijn opgeslagen. Artikel 34 verplicht een bedrijf om getroffenen over een datalek te informeren als er voor hen een hoog risico bestaat. De klantenbrief van 29 oktober vervult dat doel formeel. Wie geen bericht heeft gekregen, maar daar wel heeft gekocht, kan navraag doen, in dezelfde mail waarin hij om inzage volgens artikel 15 vraagt.

Als een bedrijf niet binnen een maand op zo'n verzoek reageert, kun je een klacht indienen bij een toezichthouder voor gegevensbescherming. Een schadeclaim volgens artikel 82 is in zulke gevallen juridisch mogelijk, maar vereist een concreet aantoonbare schade, en alleen het feit dat gegevens zijn uitgelekt, volstaat daarvoor volgens de rechtspraak tot nu toe niet.

Datalekken bij walletmakers: vier fabrikanten, geen enkele private key getroffen

De bevinding van dit jaar is onaangenaam en tegelijk geruststellend. Onaangenaam, omdat de klantgegevens van vier aanbieders van hardware wallets binnen drie maanden in verkeerde handen zijn gekomen en daar niets meer aan te veranderen is. Geruststellend, omdat in geen van deze gevallen een private key of een herstelzin getroffen was. De apparaten hebben waargemaakt wat ze beloven. Wat brak, was de handel eromheen.

1. Loop je bewaring één keer rustig door. Controleer of je volledige bezit op één apparaat staat, of de herstelzin maar op één plek ligt en of die plek tegen vuur en water beschermd is. Welke apparaten er zijn en waarin ze verschillen, staat in de vergelijking van hardware wallets.
2. Beslis bewust over het deel dat je dagelijks gebruikt. Voor kleine bedragen die vaak in beweging zijn, is een software wallet het passendere gereedschap, terwijl het apparaat het bezit voor de lange termijn bewaart.
3. Bepaal welk deel überhaupt in eigen bewaring moet. Wie regelmatig handelt, heeft hoe dan ook een rekening nodig bij een aanbieder onder toezicht met een MiCA-vergunning.

(Per 1 november 2026. Dit artikel is geen beleggingsadvies. Koersen en tarieven veranderen; controleer de voorwaarden bij de aanbieder voordat je koopt.)