Trezor'un Alan Adı, Tedarikçi İhlali Sonrası Phishing Saldırısında Kullanıldı

Donanım cüzdanı üreticisi Trezor, Çarşamba günü, üçüncü taraf bir e-posta sağlayıcısının ihlal edilmesinin ardından resmi alan adından phishing e-postalarının gönderildiğini kullanıcılarına bildirdi. 'Kritik Güvenlik Uyarısı: STM32 Entropi Açığı' başlıklı sahte mesaj, müşterileri sahte bir yazılım güncellemesi yüklemek için bir bağlantıya tıklamaya yönlendirdi.

Phishing, Trezor'un meşru alan adı ve imzalarını taşıdığı için ikna ediciydi; bu, çoğu kullanıcının tanımayı öğrendiği tipik benzer adreslerden farklıydı. Kripto yorumcusu Marcello Paz, e-postanın gerçek Trezor müşterilerine ulaştığını gösteren ekran görüntülerini paylaştı ve İsviçreli rakip BitBox, aynı gün kullanıcılarına benzer bir phishing e-postası ulaştığını bildirdi.

Neden Önemli

Bu, Trezor'un iki ay içindeki ikinci üçüncü taraf ihlali. Mayıs ayında, nakliye sağlayıcısı ShipMonk'taki bir ihlal, yaklaşık 13,700 müşterinin isimlerini, şehirlerini ve e-posta adreslerini ifşa etti; Trezor daha sonra bu sayıyı 67,000 etkilenen ABD müşterisi olarak yukarı revize etti. Şimdi, ihlal alanı, cihazın kendisi değil, tedarikçi çevresi olarak belirginleşiyor.

Donanım bu sefer kırılmadı. Haziran ayında, Ledger'ın Donjon araştırma ekibi, Trezor Safe 7 içindeki TROPIC01 güvenli elemanına karşı laboratuvar tabanlı bir lazer hata enjekte etme saldırısını açıkladı, ancak Trezor, kullanıcı fonlarının ifşa edilmediğini bildirdi. Tekrar eden sorun operasyonel: nakliye etiketleri, posta listeleri, e-posta altyapısı. Her biri, saldırganlara aynı kullanıcı tabanına yeni bir giriş vektörü sağlıyor.

Piyasa Etkisi

Acil maliyet, teknik değil, itibari. Bağlantıya tıklayan ve tohum ifadelerini giren kullanıcılar ifşa oldu ve Trezor henüz herhangi bir fonun kaybedilip kaybedilmediğini açıklamadı. Daha büyük okuma, ölçekli öz mülkiyet için: her üçüncü taraf entegrasyonu, bir donanım cüzdanının kendi başına güvence altına alabileceğinden daha geniş bir saldırı yüzeyini genişletiyor.

Bu model endüstri genelinde geçerli. 2020'deki bir Ledger ihlali, 270,000'den fazla müşteriyi ifşa etti ve Ledger kullanıcıları yıllar sonra dolandırıcılık telefon çağrıları ve fiziksel mektuplar bildirmeye devam etti. Trezor, etkilenen alan adını kapattı ve saldırganların meşru gönderici kimlik bilgilerini nasıl elde ettiğini araştırıyor. Şu anda, en güvenli okuma, e-posta ile gelen bir donanım cüzdanı güncellemesine asla güvenmemektir.