Os fabricantes de carteiras de hardware Trezor e BitBox alertaram os usuários sobre e-mails de phishing disfarçados de avisos de segurança urgentes após suspeitas de comprometimento envolvendo serviços de e-mail de terceiros.
Resumo
- A Trezor alertou os usuários para não clicarem em links de um e-mail fraudulento que alegava uma vulnerabilidade de entropia do STM32 após seu provedor de e-mail ser invadido.
- A BitBox disse que seu provedor de newsletter provavelmente foi comprometido, com várias empresas de Bitcoin parecendo ter sido alvo através do mesmo provedor.
- Os alertas de phishing seguem incidentes recentes de segurança de carteiras de hardware, incluindo uma violação da ShipMonk que expôs dados pertencentes a mais de 80.000 clientes da Trezor.
- A BitBox corrigiu duas vulnerabilidades graves de firmware em agosto, mas relatou nenhuma exploração conhecida ou fundos de usuários roubados.
A Trezor disse na quarta-feira que seu provedor de e-mail foi invadido e alertou os usuários para não interagirem com uma mensagem fraudulenta intitulada “Alerta Crítico de Segurança: Vulnerabilidade de Entropia do STM32”. A empresa disse aos destinatários para não clicarem em nenhum link no e-mail.
A BitBox emitiu um alerta semelhante no mesmo dia depois que usuários receberam um e-mail de phishing se passando pela empresa. Sua revisão preliminar descobriu que seu provedor de newsletter provavelmente foi comprometido, com várias empresas de Bitcoin parecendo ter sido alvo através de um provedor que compartilhavam.
E-mail de phishing da Trezor alega vulnerabilidade de entropia
O e-mail fraudulento da Trezor apresentava a suposta vulnerabilidade de entropia do STM32 como um problema de segurança que exigia que os usuários tomassem uma atitude.
A Trezor rejeitou a mensagem e confirmou que era uma tentativa de phishing. A empresa disse que o provedor de e-mail de terceiros afetado foi invadido, enquanto seu alerta se concentrou em impedir que os destinatários seguissem os links contidos na mensagem.
A campanha de phishing ocorre após uma vulnerabilidade real relacionada à entropia ter afetado outro fabricante de carteiras de hardware no início deste ano. Uma falha de firmware da Coldcard divulgada em julho envolvia geração fraca de números aleatórios que poderia resultar em seeds de carteiras vulneráveis.
O problema da Coldcard decorreu de um erro de configuração de compilação que fez com que os dispositivos afetados usassem um gerador de números pseudorrandômicos de software em vez do gerador de números aleatórios de hardware pretendido. A vulnerabilidade afetou o firmware da Coldcard Mk3 que remonta a março de 2021.
Os atacantes posteriormente exploraram a fraqueza para identificar carteiras criadas com seeds vulneráveis. Um ataque em 31 de julho inicialmente moveu 594 BTC no valor de aproximadamente US$ 38 milhões de cerca de 500 endereços, com análises posteriores conectando mais endereços e Bitcoin à mesma vulnerabilidade.
Como o crypto.news relatou anteriormente, o incidente de segurança da Coldcard levou o Diretor de Segurança da Kraken, Nick Percoco, a pedir auditorias independentes da geração de seeds de carteiras de hardware. A Coinkite lançou correções de firmware, mas as carteiras criadas usando seeds vulneráveis ainda exigiam que os usuários gerassem novas frases-semente e movessem seu Bitcoin.
A BitBox disse em julho que seus dispositivos não foram afetados pela vulnerabilidade de geração de números aleatórios.
BitBox aponta comprometimento do provedor de newsletter
A BitBox disse que sua investigação preliminar indicou que seu provedor de newsletter provavelmente foi comprometido depois que e-mails de phishing se passando pela empresa de hardware wallet chegaram aos usuários.
A empresa descobriu que várias outras empresas de Bitcoin foram alvo e pareciam usar o mesmo provedor de newsletter. A BitBox alertou os assinantes sobre a tentativa de phishing enquanto continuava a investigar o incidente.
A campanha de phishing seguiu uma divulgação de segurança separada da BitBox em agosto, quando a empresa corrigiu duas falhas de firmware que afetavam suas hardware wallets.
Uma das vulnerabilidades poderia ter permitido que firmware malicioso fosse instalado sob certas condições. A segunda envolvia o tratamento de endereços Bitcoin e poderia ter afetado como os endereços eram verificados.
A BitBox disse que não havia exploração conhecida de nenhuma das vulnerabilidades e nenhum fundo de usuário foi reportado como roubado. Firmware atualizado foi lançado para corrigir ambos os problemas.
Usuários de hardware wallet enfrentaram ataques que não exigem comprometer os próprios dispositivos. Algumas campanhas, em vez disso, dependem de se passar por fabricantes de wallets e persuadir os usuários a divulgar informações de recuperação.
Em fevereiro, atacantes enviaram cartas físicas se passando por Trezor e Ledger e direcionaram os destinatários a escanear códigos QR para supostas verificações de autenticação ou transação.
A campanha de phishing de hardware wallet usou cartas com aparência oficial e prazos para criar urgência. Os códigos QR direcionavam os usuários a sites maliciosos que solicitavam frases de recuperação de 12, 20 ou 24 palavras sob o pretexto de verificar a propriedade da wallet.
Qualquer pessoa que obtenha uma frase de recuperação pode recriar a wallet associada e controlar seus fundos. Trezor e Ledger disseram que provedores legítimos de hardware wallet não pedem aos usuários para inserir, escanear, enviar ou compartilhar frases de recuperação por meio de sites ou outros canais externos.
Violação de dados de clientes da Trezor afetou mais de 80.000 usuários
O mais recente alerta de phishing da Trezor segue divulgações separadas envolvendo informações de clientes mantidas por seu provedor de envio ShipMonk.
Em 13 de agosto, a Trezor divulgou que o acesso não autorizado aos sistemas da ShipMonk expôs dados pertencentes a 13.689 clientes.
A divulgação inicial cobriu 11.742 clientes cujos nomes, endereços de e-mail, números de telefone e endereços de envio foram expostos. Outros 1.947 clientes tiveram seus nomes, cidades e endereços de e-mail comprometidos.
A Trezor disse que seus próprios sistemas não foram violados e suas hardware wallets, chaves privadas e frases de recuperação permaneceram seguras. A empresa alertou que as informações expostas dos clientes poderiam ser usadas para tentativas de phishing e impersonação mais convincentes.
O incidente da ShipMonk foi mencionado em cobertura anterior das vulnerabilidades de firmware da BitBox, juntamente com outra exposição de dados de clientes envolvendo a fabricante de hardware wallet SafePal. Nenhum dos incidentes comprometeu as hardware wallets ou frases de recuperação das empresas.
A Trezor ampliou sua divulgação sobre a ShipMonk em 4 de setembro depois de saber que outros aproximadamente 67.000 clientes nos EUA foram afetados.
Os registros adicionais pertenciam a clientes que fizeram pedidos entre novembro de 2019 e agosto de 2021 e incluíam nomes, endereços de e-mail, números de telefone, endereços de envio e números de pedido.
Combinado com os clientes identificados em agosto, a divulgação ampliada elevou o número afetado pela violação da ShipMonk para mais de 80.000.
A Trezor disse que havia recebido anteriormente garantias de que as informações mais antigas dos clientes haviam sido excluídas dos sistemas da ShipMonk. A empresa soube em 2 de setembro que os registros permaneceram armazenados pelo provedor de envio.
Phishing de hardware wallet assumiu várias formas
A Trezor lidou com tentativas de phishing por outros canais de comunicação antes do mais recente incidente com provedor de e-mail.
A Trezor disse na época que sua infraestrutura interna de e-mail não havia sido violada. A empresa alertou os usuários de que nunca solicitaria o backup de sua wallet e disse que as informações de recuperação devem permanecer privadas e offline.
As tentativas de phishing direcionadas à Trezor e à BitBox esta semana, em vez disso, levaram ambas as empresas a apontar para serviços de e-mail de terceiros. A BitBox disse que várias empresas de Bitcoin pareciam ter sido alvo através de um provedor de newsletter compartilhado, enquanto a Trezor confirmou que seu provedor de e-mail havia sido comprometido.
