Uma falha de autorização no sistema de login da Brevo permitiu que um atacante acessasse 138 contas de clientes, levando ao envio de e-mails de phishing por meio de contas usadas pela Trezor, BitBox e CoinTracking.
Resumo
- Uma falha de login da Brevo deu a um atacante acesso a 138 contas de clientes, incluindo as usadas pela Trezor, BitBox e CoinTracking.
- E-mails de phishing foram enviados por meio de seis contas, enquanto listas de contatos foram exportadas de 43 contas.
- Um e-mail fraudulento da Trezor alcançou aproximadamente 347.000 assinantes e levou cerca de 2.500 pessoas a um link malicioso.
- A Trezor está tratando todos os 347.000 endereços de newsletter como potencialmente conhecidos pelo atacante e reutilizáveis para phishing.
A Brevo disse em uma postmortem na quinta-feira que o atacante explorou uma fraqueza envolvendo seu sistema de single sign-on, obtendo acesso a organizações conectadas a usuários legítimos que haviam sido convidados para uma conta Brevo controlada pelo atacante.
Falha da Brevo deu ao atacante acesso a organizações de clientes
A Brevo rastreou o incidente à forma como sua plataforma lidava com permissões quando usuários pertenciam a mais de uma organização.
O atacante primeiro criou uma conta Brevo e habilitou o single sign-on antes de convidar usuários legítimos da Brevo para a organização recém-criada. O acesso deveria ter permanecido limitado à organização controlada pelo atacante.
Em vez disso, a Brevo disse que uma fronteira de autorização falhou, permitindo que o atacante alcançasse todas as organizações que os próprios usuários convidados tinham permissão para acessar.
As contas comprometidas incluíam as usadas pelos fabricantes de carteiras de hardware Trezor e BitBox e pelo serviço de rastreamento de portfólio de criptomoedas e declaração de impostos CoinTracking. O acesso à infraestrutura de e-mail legítima permitiu que mensagens fraudulentas fossem distribuídas de uma forma que as fizesse parecer comunicações normais da empresa.
A divulgação fornece a explicação técnica por trás dos e-mails de phishing direcionados à Trezor e aos clientes da BitBox esta semana. O Crypto.news relatou anteriormente que ambas as empresas de carteiras de hardware alertaram os usuários na quarta-feira após identificarem mensagens de segurança fraudulentas distribuídas por meio de um provedor de newsletter terceirizado.
Como as mensagens foram enviadas por meio de infraestrutura de e-mail legítima, elas puderam passar pelas verificações normais de autenticação de e-mail e chegar aos assinantes a partir de endereços associados às empresas afetadas.
O e-mail de phishing da Trezor usou a linha de assunto “Alerta Crítico de Segurança: Vulnerabilidade de Entropia STM32” e apresentou um suposto problema de segurança de hardware que exigia que os usuários tomassem uma atitude.
A mensagem direcionou os destinatários a um aplicativo malicioso que solicitava seus backups de carteira. Qualquer pessoa que obtenha uma frase de recuperação de carteira pode recriar a carteira correspondente e obter controle sobre seus fundos.
E-mail de phishing da Trezor alcançou 347.000 assinantes
A Trezor disse que sua conta Brevo continha aproximadamente 347.000 endereços de e-mail de newsletter opt-in, sem outras informações de clientes armazenadas na plataforma.
A Trezor tirou o domínio malicioso do ar no nível do DNS em 20 minutos. Cerca de 2.500 pessoas acessaram o link antes da remoção, de acordo com a empresa.
“Até ouvirmos mais da Brevo, estamos tratando todos os aproximadamente 347.000 endereços de newsletter como conhecidos pelo atacante e possivelmente reutilizáveis para phishing”, disse o porta-voz.
A Trezor disse que o incidente da Brevo não comprometeu suas carteiras de hardware, backups de carteira ou outros sistemas internos. Clientes que não inseriram seu backup de carteira no aplicativo malicioso permaneceram seguros, de acordo com a empresa.
A campanha segue várias outras tentativas de phishing envolvendo o fabricante de carteiras de hardware. Em agosto, um usuário da Trezor disse que perdeu suas economias de uma vida depois que um resultado de pesquisa patrocinado no Google o direcionou para um site falso hospedado pelo Google Sites.
A Trezor disse na época que estava vendo mais sites de phishing se passando pela empresa por meio de resultados de pesquisa patrocinados e alertou os clientes para nunca inserirem backups de carteira em sites.
No início de 2026, os golpistas levaram as tentativas de impersonação para fora do ambiente online, enviando cartas falsas da Trezor e da Ledger aos proprietários de carteiras de hardware. As cartas continham códigos QR que levavam a sites de phishing que solicitavam frases de recuperação de 12, 20 ou 24 palavras sob o pretexto de concluir a autenticação ou verificações de transações.
Contas da BitBox e da CoinTracking usadas em onda de phishing
A BitBox identificou uma campanha semelhante na quarta-feira e alertou os usuários para não seguirem as instruções contidas em e-mails fraudulentos enviados em seu nome.
O ataque ocorreu semanas depois de a BitBox corrigir duas vulnerabilidades da carteira envolvendo a instalação de firmware e o tratamento de endereços Bitcoin. A BitBox disse que não houve exploração conhecida de nenhuma das falhas e não relatou fundos de usuários roubados.
Os clientes da CoinTracking receberam uma isca de phishing diferente, elaborada em torno das funções de acompanhamento de portfólio e declaração de impostos do serviço.
O e-mail fraudulento trazia a linha de assunto “Data Breach Notice: Please refresh API Keys as soon as possible”, de acordo com a CoinTracking. A empresa alertou os clientes para não seguirem os links contidos na mensagem enquanto investigava o comprometimento de sua conta Brevo.
A Trezor já está tratando toda a sua lista de newsletter como potencialmente conhecida pelo atacante, embora a empresa tenha dito que não recebeu confirmação de que todos os 347.000 endereços foram exportados.
O fabricante de carteiras de hardware enfrentou este ano uma exposição separada de dados de clientes envolvendo o provedor de logística ShipMonk. A Trezor divulgou inicialmente em agosto que informações pertencentes a 13.689 clientes haviam sido expostas por meio do provedor de envio.
O escopo aumentou posteriormente depois que a Trezor soube que registros pertencentes a aproximadamente 67.000 clientes adicionais nos EUA permaneceram nos sistemas da ShipMonk. Os registros mais antigos abrangiam compras feitas entre novembro de 2019 e agosto de 2021 e incluíam nomes, endereços de e-mail, números de telefone, endereços de entrega e números de pedido.
A Trezor disse que seus próprios sistemas não foram comprometidos no incidente da ShipMonk e que nenhuma chave privada ou frase de recuperação foi exposta. A empresa havia recebido anteriormente garantias de que os registros de clientes mais antigos haviam sido excluídos antes de saber, em 2 de setembro, que eles permaneciam armazenados pelo provedor.
