Binalaan ng tagagawa ng hardware wallet na Trezor ang mga user nitong Miyerkules na nilusutan ng mga hacker ang kanilang third-party email provider at ginamit ito para mamahagi ng phishing email na nagkukubli bilang isang kritikal na babala sa seguridad.

“Pakitandaan na ang email na pinamagatang ‘Critical Security Alert: STM32 Entropy Vulnerability’ ay hindi galing sa amin, at ito ay isang pagtatangka ng phishing. Huwag mag-click sa anumang link,” isinulat ng Trezor sa X.

Sinabi ng Trezor na ibinaba nila ang domain na ginamit sa pag-atake at iniimbestigahan kung paano nakapasok ang mga hacker sa kanilang lehitimong domain.

Ang pekeng email ng Trezor ay nagsasaad na natuklasan ng mga inhinyero ng kumpanya ang isang “kritikal na kahinaan sa antas ng hardware” sa mga microcontroller ng STM32 na ginagamit sa kanilang mga device. Pagkatapos ay mali nitong sinasabi na apektado ang tinatayang isa sa apat na device at maaaring mag-iwan ng mga recovery phrase na may kulang na randomness, o entropy, na posibleng naglalaro sa takot na may kaugnayan sa kamakailang Coldcard exploit na nagkakahalaga sa mga user ng mahigit $130 milyon sa Bitcoin.

Naglabas ng pahayag ang Trezor na tinawag ang email na mapanlinlang at binalaan ang mga user nito pagkatapos ng 4:30 p.m. Easter Time, ngunit dumating ito ilang oras matapos mag-ulat ang ilang user na nakatanggap ng phishing scam mula sa mukhang lehitimong email address ng Trezor.

Sinabi ng co-founder at CEO ng Casa na si Nick Neuman na maaaring lumagpas ang kampanya sa Trezor, idinagdag na narinig niya rin ang pareho mula sa mga user ng Bitbox.

“Malamang na nakompromiso ang isang marketing email provider,” sabi ni Neuman sa X. “Manatiling maingat at huwag magtiwala sa mga email ng provider na sumusubok na hikayatin kang gumawa ng aksyon sa pamamagitan ng mga kaduda-dudang link.”

Nagbigay ng katulad na babala ang Bitcoin security researcher at Chief Security Officer ng Casa na si Jameson Lopp.

“Maaaring nakompromiso ng mga threat actor ang email provider/mga provider na ginagamit ng Trezor at BitBox,” aniya. “Ang mga malisyosong email na nagsasabing may masamang RNGs ang dalawa na nangangailangan ng mga update sa seguridad ay ipinapadala, at ang mga email ay tila hindi peke,” isinulat ni Lopp sa X. “Walang ganoong advisory sa seguridad ang inilabas!”

Noong Agosto, binalaan ng Trezor at ng kapwa tagagawa ng crypto hardware wallet na Foundation ang mga user tungkol sa mga pagtatangka ng phishing na nagsasamantala sa takot sa seguridad ng hardware wallet matapos ibunyag ng mga researcher ang mga kahinaan na nakakaapekto sa mga device ng Coldcard.

Noong parehong buwan, iniulat ng Trezor na isang breach sa shipping provider na ShipMonk ang naglantad ng data ng customer na pagmamay-ari ng 80,689 katao, kabilang ang mga pangalan, email address, numero ng telepono, at shipping address, at binalaan na ang leaked na impormasyon ay maaaring gamitin sa mas sopistikadong phishing attacks.