Domínio da Trezor usado em ataque de phishing após violação de fornecedor

O fabricante de carteiras físicas Trezor alertou os utilizadores na quarta-feira que e-mails de phishing tinham sido enviados a partir do seu domínio oficial após uma violação de um fornecedor de e-mail terceiro. A mensagem fraudulenta, intitulada 'Critical Security Alert: STM32 Entropy Vulnerability,' instruía os clientes a clicar numa ligação para instalar uma falsa atualização de firmware.

O phishing foi convincente porque usava o domínio legítimo e as assinaturas da Trezor, não o endereço parecido típico que a maioria dos utilizadores já aprendeu a identificar. O comentador de cripto Marcello Paz partilhou capturas de ecrã a mostrar que o e-mail chegou a clientes reais da Trezor, e a rival suíça BitBox relatou um e-mail de phishing quase idêntico a atingir os seus utilizadores no mesmo dia.

Porque é relevante

Esta é a segunda violação de terceiros da Trezor em dois meses. Em maio, uma violação no fornecedor de expedição ShipMonk expôs inicialmente nomes, cidades e endereços de e-mail de cerca de 13.700 clientes, um número que a Trezor reviu depois para cima, para 67.000 clientes nos EUA afetados. O perímetro do fornecedor, e não o dispositivo em si, é agora o padrão.

O hardware em si não foi violado desta vez. Em junho, a equipa de investigação Donjon da Ledger divulgou um ataque de injeção de falhas por laser em laboratório contra o elemento seguro TROPIC01 dentro da Trezor Safe 7, mas a Trezor afirmou que não foram expostos fundos de utilizadores. A falha recorrente é operacional: etiquetas de envio, listas de correio, infraestrutura de e-mail. Cada uma dá aos atacantes um novo vetor para a mesma base de utilizadores.

Impacto no mercado

O custo imediato é reputacional, não técnico. Os utilizadores que clicaram na ligação e introduziram frases-semente estão expostos, e a Trezor ainda não divulgou se foram perdidos fundos. A leitura mais ampla é sobre autocustódia à escala: cada integração de terceiros expande a superfície de ataque para além daquilo que uma carteira física pode proteger sozinha.

O padrão estende-se a todo o setor. Uma violação na Ledger em 2020 expôs mais de 270.000 clientes, e os utilizadores da Ledger continuam a reportar chamadas telefónicas e cartas físicas fraudulentas anos depois. A Trezor desativou o domínio afetado e está a investigar como os atacantes obtiveram credenciais legítimas de remetente. Por agora, a leitura mais segura é nunca confiar numa atualização de carteira física que chegue por e-mail.