Die Hardware-Wallet-Hersteller Trezor und BitBox haben Nutzer vor Phishing-E-Mails gewarnt, die als dringende Sicherheitshinweise getarnt sind, nachdem vermutete Kompromittierungen bei E-Mail-Diensten Dritter bekannt wurden.
Zusammenfassung
- Trezor warnte Nutzer davor, Links in einer betrügerischen E-Mail anzuklicken, die eine STM32-Entropie-Schwachstelle behauptete, nachdem der E-Mail-Anbieter des Unternehmens kompromittiert wurde.
- BitBox gab an, dass sein Newsletter-Anbieter wahrscheinlich kompromittiert wurde, wobei mehrere Bitcoin-Unternehmen offenbar über denselben Anbieter ins Visier geraten sind.
- Die Phishing-Warnungen folgen auf jüngste Sicherheitsvorfälle bei Hardware-Wallets, darunter eine ShipMonk-Verletzung, bei der Daten von mehr als 80.000 Trezor-Kunden offengelegt wurden.
- BitBox hat im August zwei schwerwiegende Firmware-Schwachstellen gepatcht, meldete jedoch keine bekannte Ausnutzung oder gestohlene Nutzergelder.
Trezor erklärte am Mittwoch, dass sein E-Mail-Anbieter kompromittiert worden sei, und warnte Nutzer davor, mit einer betrügerischen Nachricht mit dem Titel „Critical Security Alert: STM32 Entropy Vulnerability“ zu interagieren. Das Unternehmen forderte die Empfänger auf, keine Links in der E-Mail anzuklicken.
BitBox gab am selben Tag eine ähnliche Warnung heraus, nachdem Nutzer eine Phishing-E-Mail erhalten hatten, die sich als das Unternehmen ausgab. Eine vorläufige Überprüfung ergab, dass sein Newsletter-Anbieter wahrscheinlich kompromittiert wurde, wobei mehrere Bitcoin-Unternehmen offenbar über einen gemeinsam genutzten Anbieter ins Visier geraten sind.
Trezor-Phishing-E-Mail behauptet Entropie-Schwachstelle
Die betrügerische Trezor-E-Mail stellte die angebliche STM32-Entropie-Schwachstelle als ein Sicherheitsproblem dar, das von den Nutzern Maßnahmen erforderte.
Trezor wies die Nachricht zurück und bestätigte, dass es sich um einen Phishing-Versuch handelte. Das Unternehmen erklärte, dass der betroffene E-Mail-Anbieter eines Drittanbieters kompromittiert worden sei, während seine Warnung darauf abzielte, die Empfänger davon abzuhalten, den in der Nachricht enthaltenen Links zu folgen.
Die Phishing-Kampagne folgt auf eine echte entropiebezogene Schwachstelle, die Anfang dieses Jahres einen anderen Hardware-Wallet-Hersteller betraf. Ein im Juli offengelegter Coldcard-Firmware-Fehler betraf eine schwache Zufallszahlengenerierung, die zu anfälligen Wallet-Seeds führen konnte.
Das Coldcard-Problem beruhte auf einem Build-Konfigurationsfehler, der dazu führte, dass betroffene Geräte einen softwarebasierten Pseudozufallszahlengenerator anstelle des vorgesehenen Hardware-Zufallszahlengenerators verwendeten. Die Schwachstelle betraf die Coldcard Mk3-Firmware, die bis März 2021 zurückreicht.
Angreifer nutzten die Schwäche später aus, um Wallets zu identifizieren, die mit anfälligen Seeds erstellt worden waren. Ein Angriff am 31. Juli bewegte zunächst 594 BTC im Wert von etwa 38 Millionen US-Dollar von rund 500 Adressen, wobei spätere Analysen weitere Adressen und Bitcoin mit derselben Schwachstelle in Verbindung brachten.
Wie crypto.news zuvor berichtete, veranlasste der Coldcard-Sicherheitsvorfall den Chief Security Officer von Kraken, Nick Percoco, zu Forderungen nach unabhängigen Audits der Seed-Generierung von Hardware-Wallets. Coinkite veröffentlichte Firmware-Korrekturen, aber Wallets, die mit anfälligen Seeds erstellt worden waren, erforderten weiterhin, dass Nutzer neue Seed-Phrasen generierten und ihre Bitcoin verschoben.
BitBox erklärte im Juli, dass seine Geräte nicht von der Schwachstelle bei der Zufallszahlengenerierung betroffen seien.
BitBox weist auf Kompromittierung des Newsletter-Anbieters hin
BitBox erklärte, dass seine vorläufige Untersuchung darauf hindeute, dass sein Newsletter-Anbieter wahrscheinlich kompromittiert wurde, nachdem Phishing-E-Mails, die das Hardware-Wallet-Unternehmen nachahmten, die Nutzer erreichten.
Das Unternehmen stellte fest, dass mehrere andere Bitcoin-Unternehmen ins Visier genommen worden waren und offenbar denselben Newsletter-Anbieter nutzten. BitBox warnte die Abonnenten vor dem Phishing-Versuch und setzte die Untersuchung des Vorfalls fort.
Die Phishing-Kampagne folgte auf eine separate BitBox-Sicherheitsoffenlegung im August, als das Unternehmen zwei Firmware-Schwachstellen behob, die seine Hardware-Wallets betrafen.
Eine der Schwachstellen hätte es ermöglichen können, unter bestimmten Bedingungen bösartige Firmware zu installieren. Die zweite betraf die Handhabung von Bitcoin-Adressen und hätte die Art und Weise beeinträchtigen können, wie Adressen verifiziert wurden.
BitBox erklärte, dass keine bekannte Ausnutzung einer der beiden Schwachstellen vorliege und keine Nutzergelder als gestohlen gemeldet wurden. Eine aktualisierte Firmware wurde veröffentlicht, um beide Probleme zu beheben.
Nutzer von Hardware-Wallets waren Angriffen ausgesetzt, die nicht die Kompromittierung der Geräte selbst erfordern. Einige Kampagnen setzen stattdessen darauf, Wallet-Hersteller nachzuahmen und Nutzer dazu zu bringen, Wiederherstellungsinformationen preiszugeben.
Im Februar sandten Angreifer physische Briefe, die Trezor und Ledger nachahmten, und forderten die Empfänger auf, QR-Codes für angebliche Authentifizierungs- oder Transaktionsprüfungen zu scannen.
Die Phishing-Kampagne für Hardware-Wallets verwendete offiziell wirkende Briefe und Fristen, um Dringlichkeit zu erzeugen. Die QR-Codes leiteten die Nutzer auf bösartige Websites, die unter dem Vorwand, den Besitz der Wallet zu überprüfen, 12-, 20- oder 24-Wort-Wiederherstellungsphrasen anforderten.
Jeder, der eine Wiederherstellungsphrase erhält, kann die zugehörige Wallet neu erstellen und ihre Gelder kontrollieren. Trezor und Ledger erklärten, dass legitime Hardware-Wallet-Anbieter Nutzer nicht auffordern, Wiederherstellungsphrasen über Websites oder andere externe Kanäle einzugeben, zu scannen, hochzuladen oder weiterzugeben.
Trezor-Datenleck bei Kundendaten betraf mehr als 80.000 Nutzer
Trezors neueste Phishing-Warnung folgt auf separate Offenlegungen bezüglich Kundendaten, die von seinem Versanddienstleister ShipMonk gehalten wurden.
Am 13. August gab Trezor bekannt, dass unbefugter Zugriff auf ShipMonk-Systeme Daten von 13.689 Kunden offengelegt hatte.
Die erste Offenlegung betraf 11.742 Kunden, deren Namen, E-Mail-Adressen, Telefonnummern und Versandadressen offengelegt wurden. Bei weiteren 1.947 Kunden wurden Namen, Städte und E-Mail-Adressen kompromittiert.
Trezor erklärte, dass seine eigenen Systeme nicht kompromittiert wurden und seine Hardware-Wallets, privaten Schlüssel und Wiederherstellungsphrasen sicher blieben. Das Unternehmen warnte, dass die offengelegten Kundendaten für überzeugendere Phishing- und Identitätsnachahmungsversuche genutzt werden könnten.
Der ShipMonk-Vorfall wurde in früheren Berichten über die BitBox-Firmware-Schwachstellen erwähnt, zusammen mit einer weiteren Offenlegung von Kundendaten beim Hardware-Wallet-Hersteller SafePal. Keiner der beiden Vorfälle kompromittierte die Hardware-Wallets oder Wiederherstellungsphrasen der Unternehmen.
Trezor erweiterte seine ShipMonk-Offenlegung am 4. September, nachdem es erfahren hatte, dass weitere etwa 67.000 US-Kunden betroffen waren.
Die zusätzlichen Datensätze gehörten zu Kunden, die zwischen November 2019 und August 2021 Bestellungen aufgegeben hatten, und umfassten Namen, E-Mail-Adressen, Telefonnummern, Versandadressen und Bestellnummern.
Zusammen mit den im August identifizierten Kunden brachte die erweiterte Offenlegung die Zahl der vom ShipMonk-Datenleck Betroffenen auf mehr als 80.000.
Trezor erklärte, dass es zuvor Zusicherungen erhalten hatte, dass die älteren Kundendaten aus den Systemen von ShipMonk gelöscht worden seien. Das Unternehmen erfuhr am 2. September, dass die Datensätze weiterhin vom Versanddienstleister gespeichert wurden.
Phishing bei Hardware-Wallets hat verschiedene Formen angenommen
Trezor hatte bereits vor dem jüngsten E-Mail-Anbieter-Vorfall mit Phishing-Versuchen über andere Kommunikationskanäle zu tun.
Trezor erklärte damals, dass seine interne E-Mail-Infrastruktur nicht kompromittiert worden sei. Das Unternehmen warnte die Nutzer, dass es niemals ihr Wallet-Backup anfordern würde, und erklärte, dass Wiederherstellungsinformationen privat und offline bleiben sollten.
Die Phishing-Versuche, die diese Woche auf Trezor und BitBox abzielten, führten stattdessen dazu, dass beide Unternehmen auf E-Mail-Dienste von Drittanbietern verwiesen. BitBox erklärte, mehrere Bitcoin-Unternehmen seien offenbar über einen gemeinsamen Newsletter-Anbieter ins Visier genommen worden, während Trezor bestätigte, dass sein E-Mail-Anbieter kompromittiert worden war.
