Trezor expõe 347 mil contactos a ataques de phishing

Dois incidentes recentes envolvendo a D’CENT e a Trezor mostram que a segurança das carteiras de hardware pode manter-se intacta, enquanto o software envolvente, os fornecedores e os dados dos clientes criam novos caminhos até aos fundos dos utilizadores. A D’CENT está a investigar transferências não autorizadas da sua App Wallet, enquanto uma falha no fornecedor de marketing da Trezor expôs 347.149 contactos de email de clientes. Nenhuma das empresas comunicou uma violação da segurança das suas carteiras de hardware.

Porque é importante

A investigação da D’CENT centra-se em utilizadores que introduziram frases de recuperação na sua carteira de software e assinaram transações em versões anteriores à 8.1.0. Uma frase gerada num dispositivo de hardware pode recriar as mesmas chaves privadas noutro local, pelo que importá-la para uma carteira num telemóvel amplia o risco para além do ambiente seguro de assinatura do dispositivo. A potencial exposição inclui Bitcoin, Ethereum, XRP Ledger, Tron e redes compatíveis com EVM.

O incidente da Trezor revela uma via diferente. Os atacantes exploraram uma falha no sistema de início de sessão único SAML do fornecedor de marketing Brevo, exportaram contactos de 43 contas de clientes e usaram seis contas para enviar emails de phishing através de uma infraestrutura de confiança. A lista exposta da Trezor abrangia 347.149 contactos. Cerca de 2.500 destinatários chegaram a um domínio malicioso depois de receberem um falso alerta sobre uma vulnerabilidade de hardware que solicitava cópias de segurança das carteiras.

Impacto no mercado

Clicar apenas na ligação da Trezor não expôs os fundos. O perigo começou quando os utilizadores introduziram uma frase de recuperação na aplicação maliciosa, permitindo aos atacantes recriar as carteiras noutro local. A D’CENT afirmou igualmente que ligar um dispositivo de hardware à sua aplicação normalmente não transfere a frase para o telemóvel, enquanto a importação manual o faz.

Os incidentes aumentam as exigências de segurança para os fornecedores de soluções de autocustódia. As empresas de carteiras têm de proteger não só os chips seguros e os sistemas de assinatura de transações, mas também as bases de dados de clientes, os fluxos de software e os fornecedores externos. Os utilizadores que cumprem os critérios da D’CENT estão a ser aconselhados a atualizar a aplicação, criar uma carteira com uma nova frase de recuperação e transferir os ativos afetados. Ambos os casos reforçam a mesma regra: as frases de recuperação devem permanecer offline e nunca devem ser introduzidas em software ou formulários de phishing.