Виробник апаратних гаманців Trezor у середу попередив користувачів, що хакери зламали його стороннього постачальника послуг електронної пошти та використали його для розповсюдження фішингового електронного листа, замаскованого під критичне попередження безпеки.

"Будь ласка, зверніть увагу, що електронний лист під назвою 'Критичне попередження безпеки: вразливість ентропії STM32' надходить не від нас, і це спроба фішингу. Не натискайте жодні посилання", - написав Trezor на X.

Trezor заявив, що вимкнув домен, використаний у атаці, і розслідує, як хакери отримали доступ до його легітимного домену.

Фальшивий електронний лист Trezor стверджує, що інженери компанії виявили "критичну вразливість на апаратному рівні" в мікроконтролерах STM32, які використовуються в її пристроях. Потім він неправдиво заявляє, що дефект впливає приблизно на один з чотирьох пристроїв і може залишити резервні фрази з недостатньою випадковістю, або ентропією, ймовірно, граючи на страхах, пов'язаних з нещодавнім експлойтом Coldcard, який коштував користувачам понад 130 мільйонів доларів у біткойнах.

Trezor випустив заяву, назвавши електронний лист шахрайським і попередивши своїх користувачів відразу після 16:30 за східним часом, але це сталося через кілька годин після того, як кілька користувачів повідомили про отримання фішингової афери з, здавалося б, легітимної електронної адреси Trezor.

Співзасновник та генеральний директор Casa Нік Нойман сказав, що кампанія може виходити за межі Trezor, додавши, що він чув те саме від користувачів Bitbox.

"Ймовірно, був скомпрометований постачальник послуг маркетингової електронної пошти", - сказав Нойман на X. "Будьте пильні та не довіряйте електронним листам від постачальників, які намагаються змусити вас вчиняти дії за допомогою підозрілих посилань."

Дослідник безпеки Біткойна та головний офіцер з безпеки Casa, Джеймсон Лопп, висловив подібне попередження.

"Зловмисники могли скомпрометувати постачальника(ів) послуг електронної пошти, які використовуються Trezor та BitBox", - написав він. "Надсилаються шкідливі електронні листи, які стверджують, що обидва мають погані ГВЧ (генератори випадкових чисел), що вимагають оновлень безпеки, і листи не виглядають підробленими", - написав Лопп на X. "Жодного такого попередження безпеки не було випущено!"

У серпні Trezor та інший виробник крипто-апаратних гаманців Foundation попередили користувачів про фішингові спроби, що використовують страхи щодо безпеки апаратних гаманців, після того, як дослідники розкрили вразливості, що впливають на пристрої Coldcard.

Того ж місяця Trezor повідомив, що витік даних у постачальника послуг доставки ShipMonk скомпрометував дані клієнтів 80 689 осіб, включаючи імена, адреси електронної пошти, номери телефонів та адреси доставки, і попередив, що витік інформації може бути використаний у більш складних фішингових атаках.