Ein Autorisierungsfehler im Anmeldesystem von Brevo ermöglichte es einem Angreifer, auf 138 Kundenkonten zuzugreifen, was dazu führte, dass Phishing-E-Mails über Konten versendet wurden, die von Trezor, BitBox und CoinTracking genutzt werden.
Zusammenfassung
- Ein Brevo-Anmeldefehler ermöglichte einem Angreifer den Zugriff auf 138 Kundenkonten, darunter auch solche, die von Trezor, BitBox und CoinTracking genutzt werden.
- Phishing-E-Mails wurden über sechs Konten versendet, während Kontaktlisten aus 43 Konten exportiert wurden.
- Eine betrügerische Trezor-E-Mail erreichte etwa 347.000 Abonnenten und leitete rund 2.500 Personen auf einen schädlichen Link.
- Trezor behandelt alle 347.000 Newsletter-Adressen als dem Angreifer möglicherweise bekannt und für Phishing wiederverwendbar.
Brevo erklärte in einem am Donnerstag veröffentlichten Postmortem, dass der Angreifer eine Schwachstelle im Zusammenhang mit seinem Single-Sign-on-System ausnutzte und dadurch Zugriff auf Organisationen erlangte, die mit legitimen Nutzern verbunden waren, die in ein vom Angreifer kontrolliertes Brevo-Konto eingeladen worden waren.
Brevo-Schwachstelle verschaffte Angreifer Zugriff auf Kundenorganisationen
Brevo führte den Vorfall auf die Art und Weise zurück, wie seine Plattform Berechtigungen handhabte, wenn Nutzer mehr als einer Organisation angehörten.
Der Angreifer erstellte zunächst ein Brevo-Konto und aktivierte Single Sign-on, bevor er legitime Brevo-Nutzer in die neu erstellte Organisation einlud. Der Zugriff hätte auf die vom Angreifer kontrollierte Organisation beschränkt bleiben sollen.
Stattdessen, so Brevo, versagte eine Autorisierungsgrenze, wodurch der Angreifer auf jede Organisation zugreifen konnte, auf die die eingeladenen Nutzer selbst Zugriffsberechtigung hatten.
Zu den kompromittierten Konten gehörten auch solche, die von den Hardware-Wallet-Herstellern Trezor und BitBox sowie dem Krypto-Portfolio-Tracking- und Steuerberichtsdienst CoinTracking genutzt werden. Der Zugriff auf die legitime E-Mail-Infrastruktur ermöglichte die Verbreitung betrügerischer Nachrichten in einer Weise, die sie wie normale Unternehmenskommunikation erscheinen ließ.
Die Offenlegung liefert die technische Erklärung für die Phishing-E-Mails, die diese Woche auf Trezor und BitBox-Kunden abzielten. Crypto.news berichtete zuvor, dass beide Hardware-Wallet-Unternehmen am Mittwoch Nutzer warnten, nachdem sie betrügerische Sicherheitsnachrichten identifiziert hatten, die über einen Drittanbieter für Newsletter verbreitet wurden.
Da die Nachrichten über legitime Mailing-Infrastruktur versendet wurden, konnten sie normale E-Mail-Authentifizierungsprüfungen bestehen und Abonnenten von Adressen erreichen, die mit den betroffenen Unternehmen verbunden waren.
Die Phishing-E-Mail von Trezor verwendete die Betreffzeile „Critical Security Alert: STM32 Entropy Vulnerability“ und präsentierte ein angebliches Hardware-Sicherheitsproblem, das von den Nutzern Maßnahmen erforderte.
Die Nachricht leitete die Empfänger zu einer schädlichen Anwendung, die ihre Wallet-Backups anforderte. Jeder, der eine Wallet-Wiederherstellungsphrase erhält, kann die entsprechende Wallet wiederherstellen und die Kontrolle über deren Guthaben erlangen.
Trezor-Phishing-E-Mail erreichte 347.000 Abonnenten
Trezor erklärte, dass sein Brevo-Konto etwa 347.000 Opt-in-Newsletter-E-Mail-Adressen enthielt, wobei keine weiteren Kundeninformationen auf der Plattform gespeichert waren.
Trezor nahm die schädliche Domain innerhalb von 20 Minuten auf DNS-Ebene offline. Laut dem Unternehmen hatten etwa 2.500 Personen den Link vor der Abschaltung aufgerufen.
„Bis wir mehr von Brevo hören, behandeln wir alle etwa 347.000 Newsletter-Adressen als dem Angreifer bekannt und möglicherweise für Phishing wiederverwendbar“, sagte der Sprecher.
Trezor erklärte, dass der Brevo-Vorfall seine Hardware-Wallets, Wallet-Backups oder andere interne Systeme nicht kompromittiert habe. Kunden, die ihr Wallet-Backup nicht in die schädliche Anwendung eingegeben hätten, blieben laut dem Unternehmen sicher.
Die Kampagne folgt auf mehrere andere Phishing-Versuche im Zusammenhang mit dem Hardware-Wallet-Hersteller. Im August berichtete ein Trezor-Nutzer, er habe seine Lebensersparnisse verloren, nachdem ihn ein gesponsertes Google-Suchergebnis zu einer gefälschten Website geführt hatte, die über Google Sites gehostet wurde.
Trezor erklärte damals, dass es vermehrt Phishing-Websites sehe, die das Unternehmen über gesponserte Suchergebnisse imitierten, und warnte Kunden davor, Wallet-Backups niemals auf Websites einzugeben.
Anfang 2026 verlegten Betrüger ihre Identitätsbetrugsversuche ins Offline-Umfeld, indem sie gefälschte Trezor- und Ledger-Briefe an Besitzer von Hardware-Wallets verschickten. Die Briefe enthielten QR-Codes, die zu Phishing-Websites führten, auf denen unter dem Vorwand, eine Authentifizierung oder Transaktionsprüfung abzuschließen, 12-, 20- oder 24-Wort-Wiederherstellungsphrasen abgefragt wurden.
BitBox- und CoinTracking-Konten in Phishing-Welle genutzt
BitBox identifizierte am Mittwoch eine ähnliche Kampagne und warnte Nutzer davor, Anweisungen in betrügerischen E-Mails zu befolgen, die im Namen des Unternehmens versendet wurden.
Der Angriff erfolgte Wochen, nachdem BitBox zwei Wallet-Schwachstellen gepatcht hatte, die die Firmware-Installation und den Umgang mit Bitcoin-Adressen betrafen. BitBox erklärte, es sei keine bekannte Ausnutzung einer der beiden Schwachstellen bekannt und es seien keine gestohlenen Nutzergelder gemeldet worden.
CoinTracking-Kunden erhielten einen anderen Phishing-Köder, der auf die Portfolioverfolgungs- und Steuerberichtsfunktionen des Dienstes zugeschnitten war.
Die betrügerische E-Mail trug laut CoinTracking die Betreffzeile „Data Breach Notice: Please refresh API Keys as soon as possible“. Das Unternehmen warnte Kunden davor, Links in der Nachricht zu folgen, während es die Kompromittierung seines Brevo-Kontos untersuchte.
Trezor behandelt seine vollständige Newsletter-Liste bereits als möglicherweise dem Angreifer bekannt, obwohl das Unternehmen angab, keine Bestätigung erhalten zu haben, dass alle 347.000 Adressen exportiert wurden.
Der Hardware-Wallet-Hersteller war in diesem Jahr mit einer separaten Offenlegung von Kundendaten konfrontiert, an der der Logistikdienstleister ShipMonk beteiligt war. Trezor gab im August zunächst bekannt, dass Informationen von 13.689 Kunden über den Versanddienstleister offengelegt worden waren.
Der Umfang erhöhte sich später, nachdem Trezor erfuhr, dass Datensätze von etwa 67.000 weiteren US-Kunden in den Systemen von ShipMonk verblieben waren. Die älteren Datensätze betrafen Käufe zwischen November 2019 und August 2021 und umfassten Namen, E-Mail-Adressen, Telefonnummern, Versandadressen und Bestellnummern.
Trezor erklärte, dass seine eigenen Systeme bei dem ShipMonk-Vorfall nicht kompromittiert wurden und keine privaten Schlüssel oder Wiederherstellungsphrasen offengelegt wurden. Das Unternehmen hatte zuvor Zusicherungen erhalten, dass die älteren Kundendatensätze gelöscht worden seien, bevor es am 2. September erfuhr, dass sie weiterhin vom Dienstleister gespeichert wurden.
