Hardware-Wallet E-Mail-Phishing und Kompromittierung von Drittanbietern

Eine koordinierte Phishing-Kampagne nutzte eine Schwachstelle im Anmeldesystem des Drittanbieters Brevo, um gefälschte Sicherheitswarnungen zu versenden, die eine angebliche STM32-Entrropie-Schwäche bei Hardware-Wallets behaupteten. Die Nachricht mit dem Titel „Critical Security Alert: STM32 Entropy Vulnerability“ behauptete fälschlich, STM32-Mikrocontroller könnten Wiederherstellungsphrasen mit unzureichender Zufälligkeit erzeugen und bis zu 25 % der Geräte könnten betroffen sein. Die E-Mail enthielt einen Link zu einer App, die nach Wallet-Backups fragte. Trezor sperrte die bösartige Domain auf DNS-Ebene innerhalb von 20 Minuten, doch etwa 2.500 Empfänger hatten den Link bereits angeklickt.

Brevo erläutert in einem Postmortem, dass ein Angreifer ein Brevo-Konto anlegte, Single Sign-On aktivierte und legitime Nutzer einlud; ein Autorisierungsgrenzenfehler gewährte daraufhin Zugriff auf 138 Kundenkonten. Sechs Konten wurden zum Versenden der Phishing-E-Mails verwendet, aus 43 Konten wurden Kontakte exportiert, und in 93 Konten gab es keine nennenswerten Aktivitäten. Infolgedessen werden rund 347.000 Trezor-Newsletter-Abonnenten als dem Angreifer bekannt und potenziell erneut für Phishing nutzbar eingestuft. Auch BitBox und CoinTracking meldeten über Brevo versandte gefälschte Nachrichten; beide Unternehmen geben an, dass Brevo nur E-Mail-Adressen und Sprachpräferenzen gespeichert habe und bislang keine Hinweise auf kompromittierte Firmenanmeldedaten, verlorene Gelder oder offenliegende Wiederherstellungsphrasen vorlägen.

Der Vorfall reiht sich in frühere Drittanbieter-Sicherheitsprobleme ein: Bei einem Datenleck des Logistikpartners ShipMonk wurden 80.689 Kundendaten offengelegt, was gezieltere Phishing-Angriffe erleichtern kann. Zudem haben Sicherheitstests hardwarebezogene Risiken aufgezeigt: Forscher demonstrierten mittels fokussierter Laserfehlerinjektion an dem TROPIC01-Chip des Safe 7, dass mit physischem Zugriff manipulierte Firmware möglich wäre, obwohl Trezor betont, dass dies keine unmittelbare Gefährdung der Nutzervermögen darstelle. Beobachter äußern zudem generell kritische Ansichten zur Sicherheit von Hardware-Wallets. Anbieter fordern Nutzer auf, keine verdächtigen Links anzuklicken, haben die betroffenen Abonnenten informiert und behandeln die Newsletter-Listen bis zu weiteren Brevo-Logs als potenziell kompromittiert.