フィッシングメールの警告
ハードウェアウォレットメーカーのTrezorは、水曜日にユーザーに対し、ハッカーが第三者のメールプロバイダーを侵害し、それを利用して重要なセキュリティ警告に偽装したフィッシングメールを配信したと警告しました。
「‘Critical Security Alert: STM32 Entropy Vulnerability’というタイトルのメールは私たちからのものではなく、フィッシングの試みです。リンクをクリックしないでください」とTrezorはXに投稿しました。
Trezorは攻撃に使用されたドメインを削除し、ハッカーがどのようにして正当なドメインにアクセスしたのかを調査しています。偽のTrezorメールは、同社のエンジニアがデバイスに使用されているSTM32マイクロコントローラーに「重大なハードウェアレベルの脆弱性」を発見したと主張しています。
脆弱性の影響と過去の事例
その後、欠陥が推定で4台に1台のデバイスに影響を与え、リカバリーフレーズが不十分なランダム性またはエントロピーを持つ可能性があると虚偽の主張をしています。これは、最近のColdcardの脆弱性に関連する恐怖を利用している可能性があります。この脆弱性により、ユーザーは1億3000万ドル以上のビットコインを失いました。
Trezorは、午後4時30分（東部時間）直後にこのメールを詐欺であると呼び、ユーザーに警告を発しましたが、これは数時間後に、複数のユーザーが正当なTrezorのメールアドレスからフィッシング詐欺を受け取ったと報告した後のことでした。
専門家の警告
Casaの共同創設者兼CEOであるNick Neumanは、このキャンペーンがTrezorを超えて広がる可能性があると述べ、Bitboxのユーザーからも同様の話を聞いたと付け加えました。
「マーケティングメールプロバイダーが侵害された可能性が高い」とNeumanはXに投稿しました。「注意を怠らず、怪しいリンクを介して行動を促すプロバイダーのメールを信頼しないでください。」
ビットコインのセキュリティ研究者であり、Casaの最高セキュリティ責任者であるJameson Loppも同様の警告を発しました。
「脅威のアクターがTrezorとBitBoxが使用しているメールプロバイダーを侵害した可能性があります」と彼は投稿しました。「両者が悪いRNGを持っていると主張する悪意のあるメールが送信されており、メールは偽装されているようには見えません」とLoppはXに書きました。「そのようなセキュリティアドバイザリーは発行されていません！」
8月、Trezorと同じく暗号ハードウェアウォレットメーカーのFoundationは、研究者がColdcardデバイスに影響を与える脆弱性を開示した後、ハードウェアウォレットのセキュリティの恐怖を利用したフィッシングの試みについてユーザーに警告しました。同じ月、Trezorは、配送プロバイダーのShipMonkでの侵害により、80,689人の顧客データが漏洩したと報告しました。これには名前、メールアドレス、電話番号、配送先住所が含まれ、漏洩した情報がより高度なフィッシング攻撃に使用される可能性があると警告しました。
