Výrobca hardvérových kryptomenových peňaženiek Trezor v stredu neskoro večer oznámil, že jeho tretostranný emailový poskytovateľ bol prelomený, čo umožnilo útočníkom rozoslať phishingový email priamo z legitímnej domény spoločnosti. "Náš tretostranný emailový poskytovateľ bol prelomený. Prosím, majte na pamäti, že email s názvom 'Critical Security Alert: STM32 Entropy Vulnerability' od nás nepochádza a ide o phishingový pokus. Neklikajte na žiadny odkaz," napísala spoločnosť na sieti X. Firma uviedla, že príslušnú doménu stiahla a vyšetruje, ako sa útočníkom podarilo získať prístup k jej legitímnej mailovej infraštruktúre.
Falošný email tvrdí, že inžinieri Trezoru objavili "kritickú chybu na úrovni hardvéru" v čipoch STM32, ktoré firma používa vo svojich zariadeniach — konkrétne v generovaní entropie (náhodnosti), z ktorej sa vytvára recovery fráza (súbor slov na obnovenie prístupu k prostriedkom). Podľa falošnej správy má chyba postihovať približne každé štvrté zariadenie. Ide zjavne o zámerné využitie strachu súvisiaceho s nedávnym exploitom hardvérovej peňaženky Coldcard od spoločnosti Coinkite, ktorý koncom júla spôsobil krádež viac než 116 miliónov dolárov v bitcoine práve pre podobnú slabinu v generovaní náhodnosti.
Podľa portálu Decrypt prišlo Trezorovo varovanie až niekoľko hodín po tom, čo si viacerí používatelia sťažovali, že phishingový email dostali zo zdanlivo legitímnej trezorovskej adresy — email dokonca prešiel bezpečnostnými kontrolami SPF, DKIM aj DMARC, ktoré bežne slúžia na overenie pravosti odosielateľa. Spoluzakladateľ a šéf spoločnosti Casa Nick Neuman upozornil, že kampaň sa pravdepodobne netýka len Trezoru — podobné správy zaznamenali aj používatelia konkurenčnej švajčiarskej peňaženky BitBox, ako aj služby CoinTracking. Podľa neho pravdepodobne došlo ku kompromitácii spoločného marketingového emailového poskytovateľa, pričom časť komunity poukazuje na spoločnosť Brevo ako možnú spoločnú infraštruktúru za oboma incidentmi.
Trezor uviedol, že samotné peňaženky, súkromné kľúče ani zálohy uložené v zariadeniach neboli ohrozené — email totiž útočí len na používateľov, ktorí by na podozrivý odkaz klikli a zadali svoje údaje na falošnej stránke. Spoločnosť zároveň odporučila, aby každý, kto svoju recovery frázu alebo zálohu zadal na prepojenej stránke, okamžite presunul prostriedky do novej peňaženky.
Ide už o tretí zlyhaný bezpečnostný incident u dodávateľa Trezoru za posledné štyri týždne — 10. augusta unikli osobné údaje (mená, telefónne čísla, adresy) viac než 80-tisíc zákazníkov cez prepravnú spoločnosť ShipMonk, ktorá zabezpečuje odosielanie objednávok Trezoru.
⚠️ Tento článok nie je finančné poradenstvo. Investovanie do kryptomien je vysoko rizikové. Pred akýmkoľvek investičným rozhodnutím odporúčame konzultáciu s nezávislým finančným poradcom.