Компания Trezor подтвердила, что ее сторонний провайдер email-рассылок был скомпрометирован, и злоумышленники разослали пользователям фишинговые письма. Это уже третий случай сбоя у поставщика услуг Trezor за четыре недели.
Письма были озаглавлены «Critical Security Alert: STM32 Entropy Vulnerability». Они прошли проверки SPF, DKIM и DMARC, что сделало их особенно убедительными: они отправлялись с инфраструктуры, авторизованной отправлять письма от имени Trezor, и в Gmail отображались как подписанные компанией. Trezor заявила, что отключила домен, стоявший за кампанией, и ведет расследование того, как злоумышленники получили доступ к инфраструктуре, связанной с легитимным доменом компании. Кошельки, ключи и резервные копии не были скомпрометированы.
В поддельном письме утверждалось, что в микроконтроллерах STM32, используемых в устройствах Trezor, есть критическая уязвимость энтропии – недостаточная случайность при генерации фразы восстановления, что могло бы поставить под угрозу средства пользователей. В письме также говорилось, что уязвимость может затрагивать до 25% устройств.
Фишинговая кампания стала третьим инцидентом в цепи сбоев партнеров Trezor. В августе был взломан ShipMonk, партнер, отвечающий за доставку заказов Trezor. К 4 сентября в результате этого взлома была раскрыта информация более чем 80 тысяч пользователей – имена, номера телефонов и домашние адреса. Ранее, в 2024 году, после взлома портала поддержки Trezor предупреждение получили 66 тысяч пользователей.
Получившие фишинговые письма пользователи сталкивались с поддельным процессом проверки безопасности. Согласно одному из пользователей форума Trezor, автономный HTML-файл, прикрепленный к письму, был способен передавать введенные данные в Telegram. Параллельные инциденты затронули пользователей BitBox (швейцарского производителя аппаратных кошельков) и CoinTracking (сервиса управления портфелем криптовалют). Некоторые исследователи сообщества предположили, что общей точкой может быть провайдер маркетинга рассылок Brevo, хотя сама Trezor этот поставщик не назвала.