Hardver tárcák e-mailes adathalászata és harmadik fél sérülései

Hardver tárcagyártók felhasználóit célozta meg egy széles körű e-mailes adathalász-kampány, amelyet egy harmadik fél, a Brevo e-mailplatform belépési rendszerében kihasznált hibával követtek el. A támadó egy jogosnak tűnő értesítést küldött „Critical Security Alert: STM32 Entropy Vulnerability” tárggyal, amely hamisan azt állította, hogy az STM32 mikrovezérlők gyenge véletlenszám-generálása miatt akár a készülékek 25%-a érintett lehet, és hogy a felhasználók helyreállító kifejezései alacsony entrópiájúak. A hamis levél egy alkalmazásra mutató linket tartalmazott, amely a tárca biztonsági mentését kérte; a Trezor szerint a domain 20 percen belül DNS-szinten le lett tiltva, de körülbelül 2 500 címzett mégis rákattintott a linkre.

A nyomozás szerint a támadó egy Brevo-fiók létrehozásával, egységes bejelentkezés (SSO) engedélyezésével meghívott jogos felhasználókat, és egy jogosultsági határhiba miatt hozzáférést kapott 138 ügyfélfiókhoz. Brevo utólagos jelentése szerint hat fiókot használtak levélküldésre, 43 fiólból exportáltak kapcsolatokat, és 93 fiókban nem találtak jelentős tevékenységet; a támadás következtében mintegy 347 000 Trezor-hírlevél-feliratkozó került potenciálisan ismertté az elkövető számára. BitBox és CoinTracking szintén hamisított üzenetek terjesztéséről számolt be, de mindkét cég azt közölte, hogy Brevo csak e-mailcímeket tárolt, és egyelőre nincs bizonyíték cégfelhasználói hitelesítő adatok kiszivárgására, pénzvesztésre vagy helyreállító kifejezések nyilvánosságra kerülésére.

A támadássorozat összefügg több korábbi incidenssel: augusztusban a Trezor logisztikai partnere, a ShipMonk adatszivárgása 80 689 ügyfél személyes adatát tette nyilvánossá, ami kifinomultabb célzott adathalászatok alapjául szolgálhat. Emellett más biztonsági kutatók is felhívták a figyelmet hardveres aggályokra: egy vizsgálat a TROPIC01 chipnél fizikai hozzáféréssel és speciális lézeres beavatkozással lehetséges támadást mutatott be, bár a Trezor szerint ez nem jelent közvetlen kockázatot a felhasználói vagyonra. Közben egyes elemzők, például ZachXBT, korábban is kritikusan nyilatkoztak a hardveres tárcák általános megbízhatóságáról. A jelenlegi helyzetben a gyártók azt tanácsolják, hogy ne kattintsanak ismeretlen linkekre, és minden, a hírlevélre feliratkozott címet potenciálisan kompromittáltnak kezelnek, amíg Brevo további naplókat nem közöl.