Fałszywe alerty atakują użytkowników Trezor

Fałszywe maile podszywające się pod bezpieczeństwo

Użytkownicy Trezor i BitBox stali się celem kampanii phishingowej, w której przestępcy rozsyłali wiadomości udające pilne ostrzeżenia o bezpieczeństwie. E-maile miały wyglądać jak oficjalne komunikaty od producentów portfeli sprzętowych, ale w rzeczywistości były próbą wyłudzenia danych.

Najgłośniejsza z fałszywych wiadomości zawierała temat „Critical Security Alert: STM32 Entropy Vulnerability” i sugerowała istnienie krytycznej luki w urządzeniach Trezor. Firma jasno zaznaczyła jednak, że taki alert nie pochodzi od niej, a odbiorcy nie powinni klikać w żadne linki.

Co ustalono o ataku

Trezor poinformował, że celem był zewnętrzny dostawca usług e-mail, a nie samo urządzenie użytkowników. Firma miała zablokować domenę wykorzystywaną w ataku i prowadzi analizę, w jaki sposób doszło do nieautoryzowanego dostępu.

Z kolei BitBox ostrzegł, że również jego użytkownicy otrzymywali podobne wiadomości. Wstępna analiza sugeruje, że mógł zostać przejęty wspólny dostawca newsletterów, z którego korzystało kilka firm z branży Bitcoin. To ważny szczegół, bo wskazuje, że kampania mogła mieć szerszy zasięg niż pojedyncza marka.

Dlaczego ta próba była groźna

Fałszywe maile nie były przypadkowe. Treść wiadomości odwoływała się do realnych obaw związanych z bezpieczeństwem portfeli sprzętowych, w tym do tematu random number generation i entropy, czyli losowości wykorzystywanej przy tworzeniu kluczy i fraz odzyskiwania. Przestępcy sugerowali, że rzekoma wada sprzętowa może osłabiać zabezpieczenia recovery phrase.

To klasyczny zabieg socjotechniczny: wiadomość ma wyglądać na pilne ostrzeżenie techniczne, aby skłonić odbiorcę do szybkiego działania bez weryfikacji.

Szerszy problem w branży hardware wallet

Incydent wpisuje się w serię ostatnich zdarzeń dotyczących producentów portfeli sprzętowych. Wcześniej Trezor musiał mierzyć się z wyciekiem danych u dostawcy wysyłki, który objął dziesiątki tysięcy klientów. Firma informowała też o kolejnym naruszeniu obejmującym użytkowników w Stanach Zjednoczonych.

W przypadku BitBox również pojawiały się wcześniejsze komunikaty o poprawkach bezpieczeństwa. Producent usuwał w ostatnich miesiącach poważne luki w firmware, choć nie odnotowano wtedy znanego wykorzystania ani kradzieży środków.

Na co powinni uważać użytkownicy

Najważniejszy wniosek z tej sytuacji jest prosty: ostrzeżenia o bezpieczeństwie trzeba potwierdzać z kilku niezależnych kanałów, zanim wykona się jakikolwiek krok. Jeśli mail zawiera link prowadzący do aktualizacji, resetu lub weryfikacji portfela, warto zachować szczególną ostrożność.

W praktyce takie ataki mogą być groźne nie dlatego, że przełamują zabezpieczenia samego hardware walleta, lecz dlatego, że próbują skłonić użytkownika do ujawnienia danych odzyskiwania lub wejścia na fałszywą stronę.

Co wynika z tej kampanii

Atak pokazuje, że w ekosystemie kryptowalut coraz częściej celem nie są już wyłącznie same portfele czy giełdy, ale również infrastruktura zewnętrznych dostawców. Przejęcie narzędzia do wysyłki newsletterów może wystarczyć, by wiarygodnie podszyć się pod znaną markę i trafić do dużej grupy odbiorców.

W świecie kryptowalut to kolejny sygnał, że bezpieczeństwo nie kończy się na samym urządzeniu. Równie ważne są kanały komunikacji, przez które użytkownicy otrzymują alerty i instrukcje.