Trezor 警告用戶，指近期有釣魚電郵透過其「真身」官方網域發出，源頭是第三方電郵服務商被入侵。這已是一個月內第二宗涉及第三方供應商的保安事件，波及其客戶。上一宗事故 牽涉近 8.07 萬名用戶資料外洩。
重點摘要
- 一間遭入侵的第三方電郵服務商，令攻擊者可以經 Trezor 的官方網域，發送偽造的「保安警示」電郵。
- 瑞士硬件錢包商 BitBox 同日亦報告類似釣魚攻擊；由於寄件人資料看似「官方」，令用戶更難辨識真偽。
- 較早前物流商 ShipMonk 遭黑，最終確認約 80,700 名 Trezor 客戶個人資料外洩，或加劇被「定向釣魚」攻擊風險。
Trezor 遭「掛羊頭」釣魚
按報道，一家第三方電郵服務供應商被入侵後，黑客得以利用 Trezor 官方網域，群發標題為「Critical Security Alert: STM32 Entropy Vulnerability」的假警示電郵。相關報道見此。
Trezor 於 9 月 9 日對外表示，該郵件並非由公司發出，屬釣魚電郵，並提醒收件人切勿點擊任何連結或依照郵件指示操作。事發後，公司已將涉事網域暫時下線。
Trezor 在聲明中寫道：「請注意，題為『Critical Security Alert: STM32 Entropy Vulnerability』的電郵並非由我們發出，而是一宗釣魚攻擊。」
瑞士 Bitcoin (BTC) 硬件錢包生產商 BitBox 同日亦指，出現掛上其名義的類似釣魚活動。加密貨幣評論員 Marcello Paz 其後在社交平台貼出截圖，可見電郵沿用 Trezor 品牌、官方網域及簽名，看上去與一般官方通告無異，大大增加辨識難度。
延伸閱讀： 以太幣成交量飆 20% 多頭伺機上攻 2,550 美元阻力
Ledger 保安背景與風險對比
今次事件關鍵在於：電郵表面上的寄件人網域屬「正版」，單靠「睇寄件人電郵地址」已不足以拆解該郵件是否詐騙。Paz 指出，有關釣魚郵件聲稱發現「重大漏洞」，要求客戶更新硬件錢包，以免影響較新型號裝置。Trezor 表示正調查不法登入途徑。
是次電郵事故，與今年 6 月披露、涉及 Trezor Safe 7 所採用 TROPIC01 晶片的硬件問題屬兩回事。
當時 Ledger 旗下 Donjon 保安團隊在實驗室內，以雷射攻擊方式，繞過該晶片的韌體驗證機制，但屬高度受控、需要物理接觸及專業設備的場景。Trezor 其後強調，用戶資金安全未受影響。
回顧 2020 年，Ledger 曾遭重大數據外洩，超過 27 萬名客戶的個人資料被公開，包括姓名、電郵、電話號碼，部分甚至連住址亦被披露，相關詐騙訊息其後持續多年。
Trezor 今次發出釣魚警示，亦緊接其 8 月披露的 ShipMonk 事故。當時運送服務供應商 ShipMonk 被指外洩客戶資料，初步估算受影響約 13,700 人，然而 9 月 4 日再補充，另有約 67,000 名美國客戶被波及，令總數增至約 80,700 人。
