Trezor ostrzega: fałszywy e‑mail o luce w chipach STM32

Producent portfeli sprzętowych Trezor poinformował, że cyberprzestępcy przejęli zewnętrznego dostawcę poczty e‑mail i rozesłali do klientów wiadomość phishingową podszywającą się pod alert o luce w chipach STM32. Firma zapewnia, że portfele, klucze i kopie zapasowe nie zostały narażone.

Fałszywy e‑mail miał tytuł „Critical Security Alert: STM32 Entropy Vulnerability” i sugerował pilne działanie związane z bezpieczeństwem urządzeń. Wiadomość nie pochodziła od Trezora; firma zablokowała domenę używaną do wysyłki i prowadzi dochodzenie, by ustalić, jak doszło do przejęcia domeny.

Entropia w chipach STM32 to źródło losowości wykorzystywane przy generowaniu frazy odzyskiwania (seeda), która pozwala odtworzyć dostęp do środków. Słaba entropia może wpłynąć na bezpieczeństwo kluczy prywatnych, dlatego komunikat o takim problemie jest traktowany przez użytkowników jako powód do natychmiastowej reakcji.

Incydent z przejęciem dostawcy e‑mail to kolejny przypadek naruszeń związanych z partnerami Trezora w krótkim okresie. Atak na partnera logistycznego ShipMonk rozpoczął się 10 sierpnia; aktualizacja z 4 września zwiększyła liczbę poszkodowanych do ponad 80 000, obejmując imiona i nazwiska, numery telefonów oraz adresy domowe. W 2024 roku Trezor informował o włamaniu do portalu wsparcia, w wyniku którego ostrzeżono 66 000 użytkowników. Konkurencyjna firma SafePal zgłosiła ujawnienie blisko 40 000 rekordów.

Szwajcarski producent BitBox zgłosił podobny problem: wstępna analiza wskazała, że kompromitacja dostawcy newslettera mogła doprowadzić do wysyłki fałszywych wiadomości do subskrybentów. Według dostępnych informacji ataki mogły być wymierzone w firmy korzystające z tych samych zewnętrznych usług.

Trezor poprosił klientów, by nie klikać linków z podejrzanych wiadomości, sprawdzać komunikaty wyłącznie na trezor.io lub na zweryfikowanym koncie firmy w serwisie X oraz traktować niespodziewane telefony i listy jako potencjalne próby oszustwa do czasu weryfikacji. Osoby, które ujawniły frazę odzyskiwania na podejrzanej stronie, powinny jak najszybciej przenieść środki na nowy portfel.

W komunikacie firma ostrzegała: „Nasz zewnętrzny dostawca poczty e‑mail padł ofiarą ataku. Prosimy uważać: e‑mail o tytule ‚Critical Security Alert: STM32 Entropy Vulnerability’ nie pochodzi od nas i jest próbą phishingu. Nie klikaj żadnego linku.”

Producent kontynuuje analizę incydentu i współpracuje z partnerami, by ograniczyć skutki włamania oraz zapobiec kolejnym przypadkom przejęć usług zewnętrznych.