A Trezor e a BitBox, duas das maiores fabricantes de carteiras físicas que servem os detentores de Bitcoin a retalho, emitiram em paralelo, a 9 de setembro, avisos sobre e-mails de phishing a fazerem-se passar pelas suas marcas. As mensagens traziam o assunto técnico «Critical Security Alert: STM32 Entropy Vulnerability» e pediam aos destinatários que seguissem links e instruções que ambas as empresas afirmam nunca ter enviado. A Trezor confirmou a 10 de setembro que um fornecedor de e-mail de terceiros tinha sido violado, desativou o domínio de phishing e reiterou que as carteiras em si continuam seguras.
Porquê importa
O phishing contra carteiras físicas acelerou lado a lado com o valor bloqueado em autocustódia, e a superfície de ataque já se estende muito para lá do firmware. A BitBox disse que a sua análise preliminar encontrou o seu fornecedor de newsletter «muito provavelmente» comprometido, e que outras empresas de Bitcoin pareciam partilhar o mesmo fornecedor, alargando o raio de impacto em toda a indústria. As orientações de longa data da Trezor continuam a ser a linha de defesa operativa: qualquer pessoa que obtenha uma cópia de segurança da carteira, também chamada de seed de recuperação, pode movimentar os fundos, pelo que seguir instruções de um e-mail não solicitado é a única forma de um utilizador ficar exposto. O assunto com aparência técnica aproveitou a credibilidade de uma divulgação real de vulnerabilidade para baixar a guarda do destinatário.
Impacto no mercado
A maioria dos links de phishing já tinha sido desativada quando a BitBox publicou a sua atualização. A BitBox alertou todos os assinantes da newsletter, contactou o fornecedor comprometido e reportou os domínios de phishing. A Trezor aconselha os utilizadores a transferir o Trezor Suite apenas a partir do seu site oficial e a verificar qualquer alerta através dos canais oficiais em vez de seguir links na mensagem suspeita. O episódio ocorre no mesmo trimestre da violação da SafePal que expôs cerca de 40.000 clientes, o que sugere que o risco da cadeia de abastecimento para fabricantes de carteiras físicas passa agora tanto pela infraestrutura de listas de e-mail como pelo silício.
Perguntas frequentes
-
O que afirmavam exatamente os e-mails de phishing?
Tinham como assunto «Critical Security Alert: STM32 Entropy Vulnerability» e pediam aos destinatários que seguissem links e instruções que tanto a Trezor como a BitBox dizem nunca ter enviado.
-
As próprias carteiras físicas foram hackeadas?
Não. A Trezor confirmou a 10 de setembro que as carteiras continuam seguras. A violação ocorreu num fornecedor de e-mail de terceiros, não no firmware das carteiras.
-
O que devem fazer a seguir os destinatários do e-mail?
Ignorar as instruções, não clicar em nenhum link e verificar qualquer alerta através dos canais oficiais da Trezor e da BitBox, em vez de através da mensagem suspeita.
-
Porque é que as seeds de recuperação estão no centro do risco?
Qualquer pessoa que obtenha uma cópia de segurança da carteira, também chamada de seed de recuperação, pode movimentar os fundos. Seguir instruções de um e-mail não solicitado é a única forma de um utilizador ficar exposto.
-
Outras empresas de Bitcoin também foram afetadas?
A BitBox disse que a sua análise preliminar encontrou o seu fornecedor de newsletter «muito provavelmente» comprometido, e que outras empresas de Bitcoin que partilham o mesmo fornecedor também foram alvo.
CoinDesk
CoinTelegraph
WatcherGuru
Crypto News
Lookonchain
TheBlock
WuBlockchain