Trezor-Nutzer wurden ins Visier genommen von einer ungewöhnlich überzeugenden Phishing-Kampagne, nachdem Angreifer einen Drittanbieter-E-Mail-Dienst kompromittiert hatten, der vom Hardware-Wallet-Hersteller genutzt wird.
Das Unternehmen bestätigte am späten Mittwoch, dass eine betrügerische E-Mail mit dem Titel „Critical Security Alert: STM32 Entropy Vulnerability“ an Nutzer versandt wurde.
„Unser Drittanbieter-E-Mail-Anbieter wurde kompromittiert“, sagte Trezor. „Bitte seien Sie sich bewusst, dass die E-Mail mit dem Namen ‚Critical Security Alert: STM32 Entropy Vulnerability‘ nicht von uns stammt und es sich um einen Phishing-Versuch handelt. Klicken Sie auf keinen Link.“
Trezor fügte hinzu, dass es die betroffene Domain abgeschaltet habe und untersuche, wie die Angreifer Zugriff auf die Infrastruktur erlangen konnten, die mit der legitimen Domain verbunden ist.
Das Unternehmen hat nicht öffentlich bekannt gegeben, wie viele Kunden die Phishing-Nachricht erhalten haben.
Keine typische Phishing-E-Mail
Dieser Vorfall ist besonders erschreckend, weil er keine falsch geschriebenen oder offensichtlich betrügerischen Adressen beinhaltet.
Tatsächlich wurden die bösartigen Nachrichten über Infrastruktur zugestellt, die autorisiert ist, E-Mails im Namen von Trezor zu versenden. Dies macht es sowohl für Nutzer als auch für automatisierte Spam-Filter deutlich schwieriger, sie zu identifizieren.
Ein nach dem Angriff kursierender Screenshot zeigt, dass die E-Mail ihren Absender als „Trezor Security“ mit der Adresse help@trezor.io identifiziert.
Noch wichtiger ist, dass Gmail „mailed-by: mailing.trezor.io“ und „signed-by: trezor.io“ anzeigte.
Die betrügerischen Nachrichten bestanden die SPF-, DKIM- und DMARC-Prüfungen. Dies erklärt, warum Empfänger in Gmail „signed-by: trezor.io“ sehen konnten und warum die Nachrichten weniger wahrscheinlich als Spam eingestuft wurden.
Gefälschte Schwachstellenwarnung
Die Angreifer versuchten, Dringlichkeit zu erzeugen, indem sie behaupteten, Trezor-Geräte hätten eine kritische Entropie-Schwachstelle (kompromittierte Zufälligkeit). Sie versuchten, von der Panik zu profitieren, die aus dem Albtraum resultierte, der verwüstete Coldcard-Wallet-Besitzer Anfang dieses Jahres.
Unglückliche E-Mail-Empfänger wurden dann dazu gedrängt, einen Prozess zu durchlaufen, der wie eine Sicherheitsüberprüfung aussah.
Ein Trezor-Forum-Nutzer sagte, eine „Offline“-HTML-Datei sei in der Lage gewesen, eingegebene Informationen an Telegram zu übermitteln.
Weitere Unternehmen Berichten Zufolge Betroffen
Es gab weitere verdächtige E-Mails, die auf Kunden von BitBox und dem Krypto-Portfolio-Dienst CoinTracking abzielten.
Einige Community-Ermittler haben auf den E-Mail-Marketing-Anbieter Brevo als die gemeinsame Infrastruktur hinter den Vorfällen hingewiesen.
Trezor selbst hat den E-Mail-Anbieter, der kompromittiert wurde, nicht identifiziert.
Ein ähnlicher Vorfall
Wie von U.Today berichtet, gab das Unternehmen im August einen separaten Vorfall bekannt. Der Vorfall, an dem der Versanddienstleister ShipMonk beteiligt war, gab Kundeninformationen preis und könnte das Risiko gezielter Phishing-Angriffe erhöhen.
Derzeit gibt es keine bestätigten Beweise dafür, dass die ShipMonk-Offenlegung und die Kompromittierung des E-Mail-Anbieters am Mittwoch von denselben Angreifern verursacht wurden.
