Trezor повідомила, що зловмисники отримали несанкціонований доступ до її зовнішнього постачальника електронної пошти, після чого розіслали клієнтам фішингові повідомлення під виглядом критичного сповіщення стосовно безпеки чипа. Це вже третій випадок збоїв роботи сторонніх підрядників компанії протягом чотирьох тижнів.
Компанія, що спеціалізується на апаратних гаманцях, інформувала про блокування домену, з якого здійснювалася зазначена кампанія, а також про започаткування внутрішнього розслідування з метою з’ясування шляхів отримання доступу до легітимного домену організації. За офіційною заявою, апаратні гаманці, приватні ключі та резервні копії відновлення компрометовані не були.
Інцидент із постачальником пошти Trezor – продовження витоку ShipMonk
Інцидент 10 серпня у ShipMonk, логістичного партнера, який виконує відправлення замовлень Trezor, став відправною точкою для цієї низки. Оновлення за 4 вересня збільшило число потенційно уражених клієнтів понад 80 000 осіб.
Витік містив імена, номери телефонів та адреси місць проживання. Згідно з матеріалами BeInCrypto за серпень, самі пристрої залишилися захищеними, у той час як ризики фішингу й шахрайства лише зросли. Надалі частина користувачів повідомила про шахрайські дзвінки чи отримання підроблених листів.
Схожі шаблони простежувались і раніше. Trezor зверталася із попередженням до 66 000 користувачів після зламу порталу підтримки у 2024 році, а конкуренти також мавпували схожі проблеми: наприклад, SafePal допустив витік майже 40 000 записів у минулому місяці. Надійність самих пристроїв не викликає сумнівів. Уразливі залишаються сторонні партнери із доступом до персональних даних клієнтів.
Чому підроблене сповіщення про вразливість STM32 працює
До абонентів надійшов електронний лист зі сповіщенням про «критичну вразливість випадковості у чипах STM32». Під STM32 мається на увазі категорія мікросхем, що застосовуються всередині пристроїв Trezor.
Показник entropy (випадковість) визначає фундаментальні властивості гаманця для формування фрази відновлення – резервної комбінації, що надає контроль над активами. Зниження якості генерації випадкових чисел спричинило б реальну загрозу безпеці, що й підвищує правдоподібність принади для користувачів із підвищеною тривожністю.
«Зовнішній поштовий сервіс зазнав зламу. Звертаємо увагу: повідомлення з темою ‘Critical Security Alert: STM32 Entropy Vulnerability’ не надсилається нами й є фішинговою атакою. Не переходьте за жодним посиланням», — таке офіційне застереження оприлюднила команда.
Стежте за нашими оновленнями у X, щоб першими отримувати актуальні новини
Яких дій вимагає ситуація для користувачів Trezor
- Не переходьте за будь-якими посиланнями у неочікуваних листах від імені Trezor, особливо якщо згадується STM32 або entropy.
- Ніколи не вводьте фразу відновлення чи код пристрою на сторонніх вебсайтах.
- Ігноруйте підозрілі телефонні дзвінки чи відправлені поштою листи — розглядайте їх як ворожі повідомлення, доки не переконаєтеся в їхній правдивості.
- Офіційну інформацію завжди перевіряйте на trezor.io або на верифікованому акаунті Trezor у X.
- Користувачі, які все ж ввели фразу відновлення на фішингових сторінках, мають терміново перевести активи на новий гаманець.
Поширеність каналів контактної інформації у комбінації з правдоподібним доменом-відправником значно ускладнює ідентифікацію фішингу для пересічного користувача.
«Наразі розсилається надзвичайно переконлива фішингова кореспонденція нібито від імені апаратних гаманців (відомі вже випадки з Trezor і Bitbox). Ймовірно, джерелом стала компрометація маркетингового провайдера e-mail-розсилок — це призведе до подальшого розкриття e-mail-адрес клієнтів», — відзначив один із користувачів у коментарі.
Дійсно, BitBox — швейцарський виробник апаратних гаманців для біткойна — теж зазнав схожого інциденту: фішингові листи отримали підписники інформаційної розсилки.
За інформацією BitBox, атакою, ймовірно, було спрямовано зусилля на компанії екосистеми біткойна, які використовують спільного постачальника сервісу розсилки інформаційних бюлетенів.
