Trezor zgłasza kolejny incydent bezpieczeństwa: co powinni wiedzieć użytkownicy

Trezor poinformował, że napastnicy włamali się do systemu zewnętrznego dostawcy usług poczty elektronicznej i wysłali klientom wiadomość phishingową podszywającą się pod pilny alert dotyczący bezpieczeństwa chipów. To już trzecia awaria u dostawcy firmy w ciągu czterech tygodni.

Firma produkująca portfele sprzętowe poinformowała, że wyłączyła domenę wykorzystywaną w tej kampanii i bada, jak napastnicy uzyskali dostęp do jej prawdziwej domeny. Według doniesień portfele, klucze i kopie zapasowe umożliwiające odzyskanie dostępu nigdy nie były zagrożone.

Włamanie do dostawcy poczty Trezora po wycieku danych z ShipMonk

Serię tych zdarzeń zapoczątkował incydent z 10 sierpnia w ShipMonk, partnerze realizującym wysyłkę zamówień Trezora. Aktualizacja z 4 września podniosła liczbę poszkodowanych klientów do ponad 80 000.

W wycieku znalazły się imiona i nazwiska, numery telefonów oraz adresy domowe. BeInCrypto informowało w sierpniu, że urządzenia pozostały bezpieczne, ale wzrosło ryzyko phishingu i oszustw. Od tego czasu klienci zgłaszali oszukańcze telefony i listy dostarczane pocztą.

To znany schemat. W 2024 roku Trezor ostrzegł 66 000 użytkowników po włamaniu do portalu pomocy technicznej, a problemy miały też konkurencyjne firmy — w zeszłym miesiącu z SafePal wyciekło niemal 40 000 rekordów. Same urządzenia wytrzymują próbę. Zawodzą partnerzy przechowujący dane klientów.

Dlaczego fałszywy alert o STM32 działa

Wiadomość dotyczyła pilnego zagrożenia bezpieczeństwa związanego z „podatnością entropii STM32”. STM32 to nazwa rodziny niewielkich chipów znajdujących się w urządzeniach Trezora.

Entropia to losowość wykorzystywana przez portfel do utworzenia frazy odzyskiwania — kopii zapasowej, która daje kontrolę nad środkami. Niska losowość stanowiłaby realne zagrożenie, dlatego wiadomość może brzmieć wiarygodnie dla zaniepokojonego właściciela.

Nasz zewnętrzny dostawca poczty e-mail padł ofiarą ataku. Pamiętajcie, że wiadomość zatytułowana „Krytyczne ostrzeżenie dotyczące bezpieczeństwa: luka w zabezpieczeniach entropii STM32” nie pochodzi od nas i jest próbą phishingu. Nie klikajcie żadnego linku” — ostrzegł zespół.

Śledź nas na X, aby otrzymywać najnowsze wiadomości na bieżąco

Co powinni teraz zrobić użytkownicy Trezora

• Nie klikaj linków w żadnych nieoczekiwanych wiadomościach e-mail od Trezora, zwłaszcza tych wspominających o STM32 lub entropii.
• Nigdy nie wpisuj frazy odzyskiwania ani kodu dostępu do urządzenia na stronie internetowej.
• Traktuj niespodziewane telefony i listy jako próbę ataku, dopóki ich nie zweryfikujesz.
• Sprawdzaj trezor.io lub zweryfikowane konto Trezora na X, aby znaleźć prawdziwe komunikaty.
• Każdy, kto wpisał kopię zapasową na stronie, do której prowadził link, powinien przenieść środki do nowego portfela.

Wyciek danych kontaktowych w połączeniu z prawdziwą domeną nadawcy pozbawia użytkowników sygnałów, na których zwykle polegają.

„W tej chwili firmy produkujące portfele sprzętowe wysyłają przekonujące wiadomości phishingowe (słyszałem co najmniej o Trezorze i Bitboxie). Prawdopodobnie doszło do włamania do dostawcy usług marketingowych. To oznacza, że wycieknie więcej adresów e-mail klientów” — zauważył jeden z użytkowników.

Podobny incydent zgłosiła również szwajcarska firma BitBox, producent sprzętowego portfela Bitcoin. W tym przypadku wiadomość phishingowa została wysłana do subskrybentów jej newslettera.

Według BitBox ataki phishingowe mogły być wymierzone w firmy związane z Bitcoinem, korzystające z tego samego dostawcy newslettera.

Źródło: BeInCrypto