هشدار جعلی ترزور: ۲۵ درصد دستگاه‌ها در معرض خطر کمپین فیشینگ جدید

هشدار فیشینگ جدید، کاربران Trezor را هدف قرار داده است

شرکت سازنده کیف پول‌های سخت‌افزاری Trezor اعلام کرد که ارائه‌دهنده شخص ثالث این شرکت مورد نفوذ قرار گرفته است و به کاربران هشدار داد که ایمیلی با عنوان «هشدار امنیتی حیاتی: آسیب‌پذیری STM32 Entropy» توسط این شرکت ارسال نشده و در واقع یک تلاش برای فیشینگ بوده است.

این شرکت از کاربران خواست تا روی هیچ لینکی کلیک نکنند.

در به‌روزرسانی‌ای که در پلتفرم X منتشر شد، Trezor اعلام کرد که دامنه مورد استفاده را مسدود کرده و در حال بررسی چگونگی دسترسی هکرها به دامنه قانونی آن است. پیام فیشینگ مورد نظر تلاش می‌کرد تا کاربران را متقاعد کند که یک نقص امنیتی جدی در میکروکنترلرهای STM32 که در دستگاه‌های این شرکت استفاده می‌شوند، کشف شده است. طبق این هشدار ساختگی، میکروکنترلرهای STM32 قادر به تولید عبارت بازیابی با تصادفی بودن ناکافی هستند که به طور بالقوه می‌تواند دارایی‌های کاربران را در معرض خطر قرار دهد. این ایمیل ادعا می‌کند که تا ۲۵ درصد از دستگاه‌ها ممکن است تحت تأثیر قرار گرفته باشند.

به گفته نیک نیومن، مدیرعامل و هم‌بنیان‌گذار Casa، این مشکل ممکن است به کاربران Trezor محدود نباشد. وی خاطرنشان کرد که گزارش‌هایی از پیام‌های مشابه در میان افرادی که از دستگاه BitBox استفاده می‌کنند نیز منتشر شده است.

این اولین بار نیست که یک شریک شخص ثالث مرتبط با Trezor دچار نقض امنیتی می‌شود. در ماه اوت، این پلتفرم از حادثه امنیتی مشابهی با شریک لجستیک خود، ShipMonk، پرده برداشت که منجر به افشای اطلاعات شخصی تعداد زیادی از مشتریان شد.

اطلاعات افشا شده شامل اطلاعات تماس و تحویل بود. افشاگری قبلی تعداد افراد تحت تأثیر را ۱۳,۶۸۹ نفر اعلام کرده بود. با این حال، Trezor بعداً تأیید کرد که حدود ۶۷,۰۰۰ مشتری اضافی در ایالات متحده تحت تأثیر قرار گرفته‌اند، که این رقم را به ۸۰,۶۸۹ نفر رساند که اطلاعاتشان افشا شده بود.

یک تست امنیتی جداگانه نیز نگرانی‌هایی را در مورد تراشه TROPIC01 موجود در کیف پول Safe 7 شرکت Trezor ایجاد کرده بود. در ماه ژوئن، محققان Donjon شرکت Ledger دریافتند که با استفاده از تجهیزات تخصصی و دسترسی فیزیکی به دستگاه، یک مهاجم می‌تواند در هنگام بررسی سفت‌افزار توسط تراشه، اختلال ایجاد کند.

محققان از یک لیزر متمرکز با طول موج ۱۰۶۴ نانومتر برای ایجاد خطا در طول فرآیند بوت و به‌روزرسانی استفاده کردند. این امر می‌توانست اجرای سفت‌افزار اصلاح شده را امکان‌پذیر سازد. با این حال، Trezor اعلام کرد که این یافته دارایی‌های کاربران را در معرض خطر قرار نمی‌دهد.

زک‌ایکس‌بی‌تی (ZachXBT)، کارآگاه بلاکچین، در گذشته در مورد کیف پول‌های سخت‌افزاری صریح بوده است. وی پیش از این گفته بود که تمام کیف پول‌های سخت‌افزاری «آشغال کامل» هستند و او از آن‌ها برای تراکنش‌های مهم یا ذخیره وجوه استفاده نمی‌کند و پیشنهاد کرده بود که یک آیفون جداگانه فقط برای استفاده کیف پول در نظر گرفته شود.