Trezor 警告客戶，指有釣魚電郵透過其「看似正常」的官方網域發出，事件源於第三方電郵供應商被入侵。這已是一個月內第二宗涉及第三方的保安事故，並再度波及其客戶。上一次事故已影響大量用戶資料。
重點一覽：
- 一家第三方電郵服務商遭黑客入侵，令攻擊者可以用 Trezor 的官方網域，發送偽造的「安全提示」電郵。
- 瑞士硬件錢包商 BitBox 同日亦發現類似釣魚電郵攻擊，而「寄件人」資料看似官方，令真偽更難分辨。
- 較早前 ShipMonk 運送商事故，最終約有 80,700 名 Trezor 客戶資料外洩，加劇被「度身訂造」釣魚攻擊的風險。
Trezor 遭假安全警報釣魚
據報，第三方電郵供應商被入侵，令黑客可以利用 Trezor 的官方網域，大量發送主題為「Critical Security Alert: STM32 Entropy Vulnerability」的虛假警報電郵。相關報道見此。
Trezor 於 9 月 9 日對外澄清，指該電郵並非由公司發出，屬釣魚攻擊，並提醒收件人切勿點擊任何連結或依照電郵指示操作。公司其後已暫停相關網域的運作。
Trezor 在通告中寫道：「請注意，標題為『Critical Security Alert: STM32 Entropy Vulnerability』的電郵並非由我們發出，而是一宗釣魚攻擊。」
同日，瑞士 Bitcoin (BTC) 硬件錢包公司 BitBox 亦指，旗下品牌名義下出現類似釣魚行動。加密貨幣評論員 Marcello Paz 在社交平台分享多張截圖，所見電郵帶有 Trezor 品牌元素、官方網域及簽名格式，外觀上與一般官方通知極為相似，令用戶更難察覺異樣。
延伸閱讀： 以太幣成交量飆 20% 多頭衝擊 2,550 美元突破關鍵位
Ledger 保安背景與行業風險
今次事件的關鍵在於，黑客成功利用「看似正宗」的寄件網域——單憑檢查電郵地址，已難以辨識其為偽冒。據 Paz 指出，該電郵聲稱發現「關鍵漏洞」，要求客戶為新型號硬件錢包進行更新，從而誘使用戶按指示操作。Trezor 表示，正調查攻擊者如何取得相關存取權限。
是次電郵事件與今年 6 月另一宗硬件技術揭露不同。當時事故涉及 Trezor Safe 7 裝置內使用的 TROPIC01 晶片。
Ledger 的 Donjon 安全部門在實驗室環境下，以雷射攻擊方式，繞過該晶片的韌體驗證機制，展示理論上的攻擊途徑。Trezor 當時強調，該攻擊需要高度受控環境及實體接觸，用戶資金在實務上仍屬安全。
事實上，行內早已出現過大型資料外洩先例。2020 年 Ledger 曾被爆出逾 27 萬名客戶個人資料外洩，包括姓名、電郵、電話，部分更涉及住址，相關詐騙電郵與釣魚行動其後持續多年，對行業信心造成陰影。
ShipMonk 外洩規模擴大
Trezor 今次「官方網域被騎劫」的警告，緊接其 8 月披露的 ShipMonk 物流供應商洩露事故之後。當時 Trezor 稱，起初約有 13,700 名客戶的送貨資料被外洩，其後在 9 月 4 日再補充，發現另外約 67,000 名美國客戶受影響，令累計受牽連人數增至約 80,700 人。
在多宗第三方供應商事故之下，加密硬件錢包行業正面對更嚴峻的信任與保安挑戰。用戶除需妥善保管私鑰外，亦被敦促提高對「看似官方」電郵及連結的警覺，避免在任何未能百分百確認真偽的渠道輸入敏感資料。
