أكّدت شركة Trezor أن مزوّد خدمة البريد الإلكتروني الخارجي التابع لها قد تعرّض للاختراق، وأن المهاجمين أرسلوا رسائل تصيّد احتيالي إلى المستخدمين. وهذه هي الحادثة الثالثة من نوعها التي تطال مزوّدي خدمات Trezor في غضون أربعة أسابيع.
حملت الرسائل عنوان «Critical Security Alert: STM32 Entropy Vulnerability»، واجتازت جميع فحوصات SPF وDKIM وDMARC، مما جعلها مقنعة للغاية؛ إذ أُرسلت من بنية تحتية مخوّلة بإرسال رسائل باسم Trezor، وظهرت في Gmail على أنها موقَّعة من الشركة. وأعلنت Trezor أنها أوقفت النطاق المرتبط بهذه الحملة، وأنها تجري تحقيقاً في كيفية حصول المهاجمين على صلاحية الوصول إلى البنية التحتية المرتبطة بنطاقها الشرعي، مؤكّدةً أن المحافظ والمفاتيح والنسخ الاحتياطية لم تتعرّض للاختراق.
ادّعت الرسالة المزوّرة وجود ثغرة حرجة في الإنتروبيا تطال المتحكّمات الدقيقة STM32 المستخدمة في أجهزة Trezor، وتتمثّل في ضعف العشوائية أثناء توليد عبارة الاسترداد، مما قد يُعرّض أموال المستخدمين للخطر. كما أشارت الرسالة إلى أن الثغرة قد تمسّ ما يصل إلى 25% من الأجهزة.
جاءت حملة التصيّد الاحتيالي هذه لتكون الحادثة الثالثة في سلسلة من الإخفاقات المتعلقة بشركاء Trezor. ففي أغسطس، تعرّض ShipMonk، الشريك المسؤول عن تنفيذ طلبات شحن Trezor، للاختراق. وبحلول الرابع من سبتمبر، كشف هذا الاختراق عن بيانات أكثر من 80 ألف مستخدم، تشمل الأسماء وأرقام الهواتف والعناوين المنزلية. وفي وقت سابق من عام 2024، أُبلغ 66 ألف مستخدم بتحذير إثر اختراق بوابة دعم Trezor.
واجه المستخدمون الذين تلقّوا رسائل التصيّد الاحتيالي عملية تحقق أمني مزيّفة. وبحسب أحد مستخدمي منتدى Trezor، كان ملف HTML المستقل المرفق بالرسالة قادراً على إرسال البيانات المُدخَلة إلى Telegram. وطالت حوادث مماثلة مستخدمي BitBox (الشركة السويسرية لمحافظ الأجهزة) وCoinTracking (خدمة إدارة محافظ العملات المشفّرة). وأشار بعض باحثي المجتمع إلى أن النقطة المشتركة قد تكون مزوّد خدمة التسويق عبر البريد الإلكتروني Brevo، وإن كانت Trezor لم تُسمّ هذا المزوّد صراحةً.