По словам Trezor, злоумышленники взломали стороннего провайдера электронной почты компании и разослали клиентам фишинговое письмо, замаскированное под критическое предупреждение о безопасности чипа — это уже третий сбой поставщика компании за четыре недели.
Производитель аппаратных кошельков заявил, что домен, использовавшийся в кампании, был закрыт, и сейчас идёт расследование того, как злоумышленники получили доступ к его законному домену. По имеющимся данным, кошельки, ключи и резервные копии для восстановления не были скомпрометированы.
Взлому почтового провайдера Trezor предшествовала утечка ShipMonk
Инцидент 10 августа в компании ShipMonk, партнёре, отвечающем за доставку заказов Trezor, дал начало цепочке событий. Обновление от 4 сентября подняло число пострадавших клиентов выше 80,000.
Та утечка содержала имена, номера телефонов и домашние адреса. В августе BeInCrypto сообщал, что устройства оставались в безопасности, в то время как риск фишинга и мошенничества рос. С тех пор клиенты сообщали о мошеннических звонках и печатных письмах.
Схема не нова. Trezor предупреждала 66,000 пользователей после взлома портала поддержки в 2024 году, и конкуренты тоже спотыкались: в прошлом месяце SafePal допустила утечку почти 40,000 записей. Сами устройства держатся. Партнёры, хранящие данные клиентов, — нет.
Почему работает фальшивое предупреждение STM32
Письмо пришло как критическое предупреждение безопасности об «уязвимости энтропии STM32». STM32 — название семейства небольших чипов внутри устройств Trezor.
Энтропия — это случайность, которую кошелёк использует для создания фразы восстановления — резервной копии, контролирующей средства. Слабая случайность стала бы реальной опасностью, что делает приманку убедительной для встревоженного владельца.
«Наш сторонний провайдер электронной почты был взломан. Обратите внимание, что письмо под названием «Критическое предупреждение безопасности: уязвимость энтропии STM32» отправлено не нами, и это попытка фишинга. Не переходите по ссылкам», — предупредила команда.
Подписывайтесь на нас в X, чтобы первыми узнавать новости
Что делать пользователям Trezor сейчас
- Не переходите по ссылкам в любых неожиданных письмах от Trezor, особенно если в них упоминаются STM32 или энтропия.
- Никогда не вводите фразу восстановления или пароль устройства на сайте.
- Относитесь к неожиданным телефонным звонкам и бумажным письмам как к враждебным, пока они не подтверждены.
- Проверяйте реальные уведомления на trezor.io или в верифицированном аккаунте Trezor в X.
- Тем, кто вводил резервную фразу на связанной странице, следует перевести средства на новый кошелёк.
Утёкшие контактные данные в сочетании с подлинным доменом отправителя лишают пользователей привычных сигналов доверия.
«Сейчас от компаний-производителей аппаратных кошельков рассылаются убедительные фишинговые письма (слышал как минимум о Trezor и Bitbox). Вероятно, был скомпрометирован провайдер маркетинговых рассылок. Это значит, что утечёт больше клиентских адресов электронной почты», — отметил один из пользователей.
Действительно, BitBox, швейцарский производитель аппаратных Bitcoin-кошельков, также сообщил о похожем инциденте — с той разницей, что фишинговое письмо было разослано подписчикам их рассылки.
По данным BitBox, фишинговые атаки могли быть направлены на компании из сферы Bitcoin, пользующиеся тем же провайдером рассылок.
Source: BeInCrypto
