Peringatan Keamanan dari Trezor
Pembuat dompet perangkat keras Trezor mengeluarkan peringatan kepada pengguna pada hari Rabu bahwa peretas telah berhasil melanggar penyedia email pihak ketiga mereka. Para peretas ini menggunakan akses tersebut untuk mendistribusikan email phishing yang menyamar sebagai peringatan keamanan kritis.
“Harap diperhatikan bahwa email berjudul ‘Peringatan Keamanan Kritis: Kerentanan Entropi STM32’ tidak berasal dari kami dan merupakan upaya phishing. Jangan klik tautan apa pun dalam email tersebut,” tulis Trezor di platform X.
Detail Serangan Phishing
Trezor juga menginformasikan bahwa mereka telah menurunkan domain yang digunakan dalam serangan ini dan sedang menyelidiki bagaimana peretas bisa mendapatkan akses ke domain resmi mereka. Email palsu tersebut mengklaim bahwa insinyur perusahaan menemukan “kerentanan tingkat perangkat keras yang kritis” dalam mikrokontroler STM32 yang digunakan dalam perangkat mereka. Email tersebut secara keliru menyatakan bahwa cacat ini mempengaruhi sekitar satu dari empat perangkat dan dapat menyebabkan frasa pemulihan menjadi tidak acak, atau memiliki entropi yang rendah.
Hal ini tampaknya terkait dengan ketakutan yang muncul setelah eksploitasi Coldcard yang baru-baru ini mengakibatkan kerugian lebih dari $130 juta dalam Bitcoin bagi pengguna.
Reaksi dan Peringatan dari Ahli Keamanan
Trezor mengeluarkan pernyataan yang menyebut email tersebut sebagai penipuan dan memperingatkan penggunanya tepat setelah pukul 4:30 sore Waktu Timur. Namun, peringatan ini datang beberapa jam setelah beberapa pengguna melaporkan menerima email phishing yang tampak sah dari alamat email Trezor.
Pendiri dan CEO Casa, Nick Neuman, menyatakan bahwa kampanye ini mungkin meluas di luar Trezor, menambahkan bahwa ia juga mendengar hal serupa dari pengguna Bitbox.
“Kemungkinan penyedia email pemasaran telah dikompromikan,” kata Neuman di X. “Tetap waspada dan jangan percayai email dari penyedia yang meminta Anda untuk mengambil tindakan melalui tautan yang mencurigakan.”
Peneliti keamanan Bitcoin dan Kepala Keamanan Casa, Jameson Lopp, juga mengeluarkan peringatan serupa.
“Pelaku ancaman mungkin telah mengkompromikan penyedia email yang digunakan oleh Trezor dan BitBox,” tulisnya. “Email jahat yang mengklaim keduanya memiliki RNG yang buruk dan memerlukan pembaruan keamanan sedang dikirim, dan email tersebut tidak tampak dipalsukan. Tidak ada pemberitahuan keamanan semacam itu yang telah dikeluarkan!”
Sejarah Serangan Phishing Sebelumnya
Pada bulan Agustus, Trezor dan pembuat dompet perangkat keras crypto lainnya, Foundation, telah memperingatkan pengguna tentang upaya phishing yang mengeksploitasi ketakutan keamanan dompet perangkat keras setelah para peneliti mengungkapkan kerentanan yang mempengaruhi perangkat Coldcard. Pada bulan yang sama, Trezor melaporkan bahwa pelanggaran di penyedia pengiriman ShipMonk telah mengekspos data pelanggan yang dimiliki oleh 80.689 orang, termasuk nama, alamat email, nomor telepon, dan alamat pengiriman. Mereka memperingatkan bahwa informasi yang bocor tersebut dapat digunakan dalam serangan phishing yang lebih canggih.
