Compass Investments

Пользователи Trezor стали объектом крайне реалистичной фишинговой атаки после того, как злоумышленники взломали внешнего провайдера электронной почты, которым пользовался производитель аппаратных кошельков.

Ближе к концу среды компания подтвердила, что пользователям было отправлено мошенническое письмо с темой «Критическое предупреждение безопасности: уязвимость энтропии STM32».

Анализ цен XRP, Stellar (XLM), Dogecoin (DOGE) и Near Protocol (NEAR) на 10 сентября: сможет ли рынок возобновить рост?

Trezor также сообщила, что заблокировала скомпрометированный домен и проводит расследование того, как злоумышленники смогли получить доступ к инфраструктуре, связанной с легитимным доменом.

Компания не обнародовала, сколько именно клиентов получили это фишинговое сообщение. LINE_BREAG Инцидент вызывает особую тревогу, поскольку в нем отсутствуют адреса с опечатками или явно подозрительные адреса.

По сути, вредоносные письма были разосланы через инфраструктуру, уполномоченную отправлять электронные письма от имени Trezor. Это значительно усложняет их выявление как пользователями, так и автоматическими системами защиты от спама.

На скриншоте, который распространился после атаки, видно, что в письме в качестве отправителя указан «Trezor Security» с адресом help@trezor.io.

Еще более важно то, что в Gmail отображались строки «mailed-by: mailing.trezor.io» и «signed-by: trezor.io».

Мошеннические сообщения прошли проверки SPF, DKIM и DMARC. Это объясняет, почему получатели могли видеть «signed-by: trezor.io» в Gmail и почему такие сообщения с меньшей вероятностью оказывались в спаме.

Действительно сурово. Фишинговое письмо написано довольно правдоподобно и приходит с официального домена Trezor.

Злоумышленники стремились создать атмосферу срочности, утверждая, что устройства Trezor имеют критическую уязвимость, связанную с энтропией (нарушение случайности генерации чисел). Они пытались извлечь выгоду из паники, вызванной кошмаром, который обрушился на владельцев кошельков Coldcard в начале этого года.

Затем несчастных получателей писем подталкивали к прохождению процедуры, которая выглядела как проверка безопасности.

Один из пользователей форума Trezor сообщил, что «офлайн»-HTML-файл мог передавать введенную информацию в Telegram.

Были зафиксированы и другие подозрительные электронные письма, нацеленные на клиентов BitBox и сервиса управления криптовалютным портфелем CoinTracking.

Некоторые исследователи из сообщества указали на провайдера услуг электронного маркетинга Brevo как на общую инфраструктуру, стоящую за этими инцидентами.