Der Hardware-Wallet-Anbieter Trezor warnt vor einer Phishing-Kampagne, die über seinen kompromittierten E-Mail-Provider verbreitet wurde. Die betrügerischen Mails behaupten fälschlicherweise eine kritische Sicherheitslücke in den Geräten – möglicherweise sind auch andere Wallet-Hersteller betroffen.
Der Hardware-Wallet-Hersteller Trezor wurde Opfer eines Sicherheitsvorfalls bei seinem E-Mail-Dienstleister. Hacker nutzten den Zugang, um eine täuschend echte Phishing-E-Mail zu verteilen, die eine „kritische Sicherheitslücke" in den STM32-Mikrocontrollern der Trezor-Geräte behauptet. Die gefälschte Warnung suggeriert, dass etwa jedes vierte Gerät betroffen sei und Recovery-Phrases durch unzureichende Zufallsgenerierung kompromittiert werden könnten – eine Anspielung auf den kürzlichen Coldcard-Exploit, der Nutzer über 130 Millionen Dollar kostete.
Trezor warnte Nutzer mehrere Stunden nach dem Versand vor der Phishing-Attacke. Das für den Angriff genutzte Phishing-Netzwerk wurde daraufhin deaktiviert. Laut Sicherheitsexperten beschränkt sich die Kampagne vermutlich nicht nur auf Trezor: Casa-CEO Nick Neuman und Bitcoin-Sicherheitsforscher Jameson Lopp berichten von ähnlichen betrügerischen E-Mails, die BitBox-Nutzer erhalten haben, was auf einen kompromittierten Marketing-E-Mail-Provider hindeutet.
Das Incident reiht sich in eine Serie von Sicherheitsvorfällen bei Trezor ein. Im selben Monat offenbarte der Hersteller bereits eine Datenpanne bei seinem Versandpartner ShipMonk, die Daten von knapp 80.690 Kunden wie Namen, E-Mail-Adressen und Lieferadressen freilegte. Trezor warnte, dass diese Informationen für gezielte Phishing-Angriffe missbraucht werden könnten.