Producent portfeli sprzętowych Trezor poinformował, że doszło do naruszenia bezpieczeństwa u jego zewnętrznego dostawcy, i ostrzegł użytkowników, że e-mail zatytułowany „Krytyczny alert bezpieczeństwa: podatność entropii STM32” nie został wysłany przez firmę, lecz był próbą phishingu.
Firma zaapelowała do użytkowników, by nie klikali żadnych linków.
Oszustwo phishingowe związane z Trezorem
W komunikacie opublikowanym na X Trezor poinformował, że wyłączył domenę i bada, w jaki sposób hakerzy uzyskali dostęp do jego autentycznej domeny. Wiadomość phishingowa miała przekonać użytkowników, że w mikrokontrolerach STM32 stosowanych w urządzeniach firmy wykryto poważną lukę w zabezpieczeniach. Według sfabrykowanego ostrzeżenia mikrokontrolery STM32 mogą generować frazy odzyskiwania bez wystarczającego poziomu losowości, co potencjalnie naraża środki użytkowników na ryzyko. W e-mailu podano również, że problem może dotyczyć nawet 25% urządzeń.
Według Nicka Neumana, dyrektora generalnego i współzałożyciela Casa, problem może dotyczyć nie tylko użytkowników Trezora. Zwrócił uwagę, że podobne wiadomości zgłaszali również użytkownicy urządzenia BitBox.
To nie pierwszy przypadek naruszenia bezpieczeństwa u zewnętrznego partnera powiązanego z Trezorem. W sierpniu platforma poinformowała o podobnym incydencie dotyczącym jej partnera logistycznego, firmy ShipMonk, w wyniku którego ujawniono dane osobowe dużej liczby klientów.
Ujawnione informacje obejmowały dane kontaktowe i dotyczące dostawy. Wcześniej podano, że dotyczyło to 13 689 osób. Trezor potwierdził jednak później, że ucierpiało około 67 000 dodatkowych klientów z USA, co zwiększyło łączną liczbę osób, których dane ujawniono, do 80 689.
Obawy dotyczące sprzętu
Osobny test bezpieczeństwa wzbudził również obawy dotyczące układu TROPIC01, który znajduje się w portfelu Trezor Safe 7. W czerwcu badacze z zespołu Donjon firmy Ledger odkryli, że przy użyciu specjalistycznego sprzętu i fizycznym dostępie do urządzenia napastnik mógłby zakłócić działanie układu podczas sprawdzania oprogramowania układowego.
Badacze użyli precyzyjnie wycelowanego lasera o długości fali 1064 nm, aby wywołać błędy podczas uruchamiania i aktualizacji urządzenia. Mogłoby to umożliwić uruchomienie zmodyfikowanego oprogramowania układowego. Trezor stwierdził jednak, że to odkrycie nie naraża środków użytkowników na ryzyko.
Badacz blockchaina ZachXBT w przeszłości dość dosadnie wypowiadał się o portfelach sprzętowych. Wcześniej stwierdził, że wszystkie portfele sprzętowe to „kompletne badziewie” i że nie używałby ich do ważnych transakcji ani przechowywania środków. Zasugerował też, by trzymać osobnego iPhone’a przeznaczonego wyłącznie do korzystania z portfela.
Źródło: CryptoPotato
