Trezor y BitBox alertan de phishing masivo con estafa STM32

Trezor y BitBox, dos de los mayores fabricantes de monederos físicos que dan servicio a los usuarios minoristas de Bitcoin, emitieron el 9 de septiembre avisos paralelos sobre correos de phishing que suplantaban a sus marcas. Los mensajes llevaban el asunto técnico 'Critical Security Alert: STM32 Entropy Vulnerability' y pedían a los destinatarios que siguieran enlaces e instrucciones que ambas empresas dicen no haber enviado jamás. Trezor confirmó el 10 de septiembre que un proveedor externo de correo electrónico había sido vulnerado, desactivó el dominio de phishing y reiteró que los monederos en sí siguen siendo seguros.

Por qué importa

El phishing contra monederos físicos se ha acelerado junto con el valor bloqueado en la autocustodia, y la superficie de ataque ya se extiende mucho más allá del firmware. BitBox señaló que su revisión preliminar descubrió que su proveedor de boletines estaba 'muy probablemente' comprometido, y que otras empresas de Bitcoin parecían compartir el mismo proveedor, lo que amplía el radio del incidente en todo el sector. La guía habitual de Trezor sigue siendo la línea de defensa operativa. Quien obtenga una copia de seguridad del monedero, también llamada semilla de recuperación, puede mover los fondos, así que seguir instrucciones de un correo no solicitado es la única forma de que un usuario quede expuesto. El asunto, de apariencia técnica, tomó prestada la credibilidad de una divulgación de vulnerabilidad real para bajar la guardia del destinatario.

Impacto en el mercado

La mayoría de los enlaces de phishing ya se habían desactivado cuando BitBox publicó su actualización. BitBox ha alertado a todos los suscriptores del boletín, se ha puesto en contacto con el proveedor comprometido y ha denunciado los dominios de phishing. Trezor aconseja a los usuarios descargar Trezor Suite únicamente desde su sitio web oficial y verificar cualquier alerta a través de los canales oficiales en lugar de los enlaces del mensaje sospechoso. El episodio cae en el mismo trimestre que la brecha de SafePal que expuso a unos 40.000 clientes, lo que sugiere que el riesgo de la cadena de suministro para los fabricantes de monederos físicos pasa ahora tanto por la infraestructura de listas de correo como por el silicio.