- Les portefeuilles et les clés privées de Trezor n'ont pas été exposés, mais les attaquants ont exploité un fournisseur de messagerie tiers.
- La fraude Le domaine a été supprimé et les enquêteurs étudient comment les attaquants ont accédé à une adresse d'envoi légitime.
Trezor a confirmé qu'un fournisseur de services de messagerie tiers qu'il utilise a été piraté, permettant aux attaquants d'envoyer des e-mails de phishing directement à partir du domaine légitime de l'entreprise. L'e-mail frauduleux avait pour objet « Alerte de sécurité critique : vulnérabilité à l'entropie STM32 », conçue pour convaincre les destinataires que leurs portefeuilles matériels étaient compromis et qu'une action immédiate était nécessaire.
Trezor a été clair : l'e-mail est faux. L'incident n'a compromis aucun portefeuille ni clé privée et a conduit à la fermeture immédiate du domaine. Une enquête est en cours sur la manière dont les attaquants ont accédé à une adresse d'envoi légitime de Trezor. Ce sont les détails qui rendent cette attaque plus dangereuse qu’une tentative de fraude classique. Lorsqu’un e-mail de phishing provient d’un domaine réel d’entreprise, les méthodes de détection standard échouent souvent.
Trois échecs de fournisseurs en quatre semaines
En août, le fournisseur de transport ShipMonk a subi une violation qui a exposé les données personnelles appartenant à 80 689 clients de Trezor. Il comprenait des noms, des adresses e-mail, des numéros de téléphone et des adresses personnelles. Trezor avait alors averti que les informations divulguées pourraient être utilisées pour des attaques ultérieures plus sophistiquées. Cet avertissement s’est désormais concrétisé.
Auparavant, le portail d'assistance de Trezor exposait les données d'environ 66 000 utilisateurs. Trezor n'a pas publiquement lié ces trois incidents, mais la séquence l'est. De manière significative, la violation du portail d'assistance, la violation du partenaire d'expédition et la violation du fournisseur de messagerie indiquent que l'accent est mis sur le ciblage de l'infrastructure périphérique de Trezor plutôt que sur les portefeuilles eux-mêmes.
De plus, les attaquants passent par les fournisseurs, les partenaires logistiques et les fournisseurs de messagerie. Les parties de la chaîne qui transportent un accès réel et des données réelles, mais qui fonctionnent souvent avec moins de contrôle.
Que doivent faire les utilisateurs de Trezor ?
Ne cliquez sur aucun lien dans les e-mails inattendus de Trezor, en particulier tout ce qui fait référence à STM32 ou à des vulnérabilités d'entropie. Ne saisissez jamais une phrase de récupération ou un code d’accès de l’appareil sur un site Web accessible via un lien de courrier électronique. Traitez les appels téléphoniques inattendus ou les lettres physiques prétendant provenir de Trezor comme hostiles jusqu'à ce qu'ils soient vérifiés de manière indépendante.
Pour les communications officielles, accédez directement à trezor.io ou au compte vérifié de Trezor sur X. Toute personne ayant saisi une phrase de sauvegarde sur un site lié doit immédiatement transférer ses fonds vers un nouveau portefeuille.
De plus, Trezor a gardé confidentiels trois détails clés : le nom du fournisseur de messagerie piraté, le nombre de clients recevant le message frauduleux et si quelqu'un a accédé aux données des clients.
Voir l’article original en anglais
