硬件钱包制造商Trezor的警告
硬件钱包制造商Trezor于周三警告用户，黑客入侵了其第三方邮件服务商，并利用该服务商散布伪装成重要安全警告的钓鱼邮件。Trezor在社交媒体平台X上表示：
“请注意，名为‘关键安全警报：STM32熵漏洞’的邮件并非来自我们，而是一次钓鱼尝试。请勿点击任何链接。”
Trezor表示，已关闭此次攻击中使用的域名，并正在调查黑客是如何获得其合法域名的访问权限。伪造的Trezor邮件声称，该公司的工程师发现其设备中使用的STM32微控制器存在“关键的硬件级漏洞”。邮件虚假声称，该缺陷影响了大约四分之一的设备，可能导致恢复短语的随机性不足，或称熵不足。
这一说法可能利用了与最近Coldcard漏洞相关的恐慌，该漏洞使用户损失超过1.3亿美元的比特币。
用户的反馈与专家的警告
Trezor在东部时间下午4:30左右发布声明，称该邮件为欺诈行为，并警告用户。然而，在声明发布时，已有多名用户报告收到来自看似合法的Trezor邮箱地址的钓鱼邮件。Casa的联合创始人兼首席执行官Nick Neuman表示，此次活动可能不仅限于Trezor，并补充说他也听说Bitbox用户遇到了类似情况。他在X上表示：
“很可能是某个营销邮件服务商被攻破了。保持警惕，不要相信那些通过可疑链接要求你采取行动的服务商邮件。”
比特币安全研究员、Casa首席安全官Jameson Lopp也发出了类似的警告。他在X上发布：
“威胁行为者可能已经入侵了Trezor和BitBox使用的邮件服务商。声称两者都有糟糕随机数生成（RNG）需要安全更新的恶意邮件正在被发送，而且这些邮件看起来并没有被伪造。”
Lopp写道：“没有发布任何此类安全公告！”
过去的安全警告
在八月份，Trezor和另一家加密硬件钱包制造商Foundation曾警告用户，关于利用硬件钱包安全恐慌进行的钓鱼尝试，此前研究人员披露了影响Coldcard设备的漏洞。同月，Trezor报告称，运输服务商ShipMonk的安全漏洞暴露了80,689名客户的数据，包括姓名、电子邮件地址、电话号码和邮寄地址，并警告泄露的信息可能被用于更复杂的钓鱼攻击。
