Producătorul de portofele hardware Trezor a avertizat miercuri utilizatorii că hackerii au compromis furnizorul său de e-mail terță parte și l-au folosit pentru a distribui un e-mail de phishing deghizat într-un avertisment critic de securitate.

„Vă rugăm să rețineți că e-mailul denumit „Alertă de securitate critică: vulnerabilitate de entropie STM32” nu provine de la noi și este o tentativă de phishing. Nu faceți clic pe niciun link”, a scris Trezor pe X.

Trezor a declarat că a eliminat domeniul folosit în atac și investighează cum au obținut hackerii acces la domeniul său legitim.

E-mailul fals de la Trezor susține că inginerii companiei au descoperit o „vulnerabilitate critică la nivel hardware” în microcontrolerele STM32 utilizate în dispozitivele sale. Apoi, susține în mod fals că defectul afectează aproximativ unul din patru dispozitive și ar putea lăsa frazele de recuperare cu aleatoriu (randomness), sau entropie, insuficientă, probabil jucând pe temerile legate de recentul exploit Coldcard care a costat utilizatorii peste 130 de milioane de dolari în Bitcoin.

Trezor a emis o declarație prin care a numit e-mailul fraudulos și și-a avertizat utilizatorii imediat după ora 16:30, ora de est, dar aceasta a venit la ore după ce mai mulți utilizatori au raportat că au primit escrocheria de tip phishing de la ceea ce părea a fi o adresă de e-mail legitimă a Trezor.

Co-fondatorul și CEO-ul Casa, Nick Neuman, a declarat că această campanie s-ar putea extinde și dincolo de Trezor, adăugând că a auzit același lucru și de la utilizatorii Bitbox.

„Este probabil ca un furnizor de e-mail de marketing să fi fost compromis”, a declarat Neuman pe X. „Rămâneți vigilenți și nu aveți încredere în e-mailurile furnizorilor care încearcă să vă determine să acționați prin linkuri suspecte.”

Cercetătorul în securitatea Bitcoin și Chief Security Officer la Casa, Jameson Lopp, a emis un avertisment similar.

„Actorii amenințărilor ar putea fi compromis furnizorii de e-mail utilizați de Trezor și BitBox”, a postat el. „Se trimit e-mailuri malițioase care susțin că ambele au RNG-uri slabe care necesită actualizări de securitate, iar e-mailurile nu par a fi falsificate (spoofed)”, a scris Lopp pe X. „Nu a fost emisă o astfel de avertizare de securitate!”

În august, Trezor și celălalt producător de portofele hardware cripto Foundation au avertizat utilizatorii cu privire la tentativele de phishing care exploatează temerile legate de securitatea portofelelor hardware, după ce cercetătorii au dezvăluit vulnerabilități care afectează dispozitivele Coldcard.

În aceeași lună, Trezor a raportat că o breșă la furnizorul de transport ShipMonk a expus datele clienților aparținând unui număr de 80.689 de persoane, inclusiv nume, adrese de e-mail, numere de telefon și adrese de livrare, și a avertizat că informațiile scurse ar putea fi utilizate în atacuri de phishing mai sofisticate.