Nhà sản xuất ví cứng Trezor đã cảnh báo người dùng vào thứ Tư rằng tin tặc đã xâm nhập nhà cung cấp dịch vụ email bên thứ ba của họ và sử dụng nó để phát tán một email lừa đảo (phishing) được ngụy trang thành cảnh báo bảo mật quan trọng.

“Xin lưu ý rằng email có tiêu đề ‘Cảnh báo bảo mật quan trọng: Lỗ hổng Entropy STM32’ không phải do chúng tôi gửi, và đó là một nỗ lực lừa đảo. Đừng nhấp vào bất kỳ liên kết nào,” Trezor viết trên X.

Trezor cho biết họ đã gỡ bỏ tên miền được sử dụng trong cuộc tấn công và đang điều tra cách tin tặc giành quyền truy cập vào tên miền hợp pháp của họ.

Email giả mạo của Trezor tuyên bố các kỹ sư của công ty đã phát hiện ra một “lỗ hổng cấp độ phần cứng nghiêm trọng” trong bộ vi điều khiển STM32 được sử dụng trong các thiết bị của họ. Sau đó, nó sai sự thật khi tuyên bố rằng lỗi này ảnh hưởng đến ước tính một trong bốn thiết bị và có thể khiến các cụm từ khôi phục (recovery phrases) có tính ngẫu nhiên (entropy) không đủ, có thể đánh vào nỗi sợ hãi liên quan đến cuộc tấn công Coldcard gần đây đã khiến người dùng mất hơn 130 triệu đô la Bitcoin.

Trezor đã đưa ra một tuyên bố gọi email đó là gian lận và cảnh báo người dùng ngay sau 4:30 chiều giờ Miền Đông, nhưng điều này diễn ra vài giờ sau khi một số người dùng báo cáo nhận được email lừa đảo từ một địa chỉ email có vẻ là hợp lệ của Trezor.

Đồng sáng lập và CEO của Casa, Nick Neuman, cho biết chiến dịch này có thể mở rộng ra ngoài Trezor, và ông cũng đã nghe thấy điều tương tự từ người dùng Bitbox.

“Có khả năng một nhà cung cấp dịch vụ email marketing đã bị xâm nhập,” Neuman nói trên X. “Hãy cảnh giác và đừng tin tưởng các email từ nhà cung cấp cố gắng khiến bạn thực hiện hành động thông qua các liên kết trông đáng ngờ.”

Nhà nghiên cứu bảo mật Bitcoin và Giám đốc an ninh của Casa, Jameson Lopp, đã đưa ra cảnh báo tương tự.

“Các đối tượng đe dọa có thể đã xâm nhập nhà cung cấp dịch vụ email được Trezor và BitBox sử dụng,” ông đăng. “Các email độc hại tuyên bố cả hai đều có RNG xấu yêu cầu cập nhật bảo mật đang được gửi đi, và các email này dường như không bị giả mạo,” Lopp viết trên X. “Không có cảnh báo bảo mật nào như vậy được phát hành!”

Vào tháng 8, Trezor và nhà sản xuất ví cứng tiền điện tử Foundation đã cảnh báo người dùng về các nỗ lực lừa đảo lợi dụng nỗi sợ hãi về bảo mật ví cứng sau khi các nhà nghiên cứu tiết lộ các lỗ hổng ảnh hưởng đến thiết bị Coldcard.

Cũng trong tháng đó, Trezor báo cáo rằng một vụ xâm phạm tại nhà cung cấp dịch vụ vận chuyển ShipMonk đã làm lộ dữ liệu khách hàng của 80.689 người, bao gồm tên, địa chỉ email, số điện thoại và địa chỉ giao hàng, và cảnh báo rằng thông tin bị rò rỉ có thể được sử dụng trong các cuộc tấn công lừa đảo tinh vi hơn.