Trezor 再次报告安全事件：用户须知

Trezor 表示，攻击者入侵了其第三方电子邮件服务商，并向客户发送了一封钓鱼邮件，伪装成紧急芯片安全警报。这是该公司四周内第三次遭遇供应商安全事件。

这家硬件钱包公司表示，已关闭此次攻击所利用的域名，并正在调查攻击者如何接触到其合法域名。据称，钱包、密钥和恢复备份均未泄露。

Trezor 邮件服务商遭入侵，继 ShipMonk 信息泄露事件后再出问题

这波事件始于 8 月 10 日，Trezor 订单配送合作伙伴 ShipMonk 当天发生安全事件。9 月 4 日的一则更新显示，受影响客户人数已超过 80,000 人。

此次泄露的信息包括姓名、电话号码和家庭住址。BeInCrypto 于 8 月报道，设备仍然安全，但钓鱼和诈骗风险正在上升。此后，客户陆续反映接到诈骗电话和收到打印的信件。

这类情况早已屡见不鲜。Trezor 曾在 2024 年一次支持门户遭入侵后向 66,000 名用户发出警告；竞争对手也频频出问题，SafePal 上个月就泄露了近 40,000 条记录。设备本身经得住考验，保管客户数据的合作伙伴却不然。

虚假的 STM32 警报为何奏效

这封邮件伪装成一则紧急安全警报，声称存在“STM32 熵漏洞”。STM32 是 Trezor 设备内部一系列小型芯片的名称。

熵是钱包生成恢复短语所用的随机性，而恢复短语是控制资金的备份。随机性不足确实会带来重大风险，因此这种诱饵很容易让担忧的用户信以为真。

我们的第三方电子邮件服务提供商遭到入侵。请注意，标题为“严重安全警报：STM32 熵漏洞”的邮件并非由我们发送，而是一次网络钓鱼攻击。请勿点击任何链接，”团队警告说。

在X上关注我们，获取最新新闻动态

Trezor 用户现在应该怎么做

• 不要点击任何意料之外的 Trezor 邮件中的链接，尤其是提到 STM32 或熵的邮件。
• 绝不要在网站上输入恢复短语或设备密码。
• 在核实之前，请将意料之外的电话和纸质信件视为恶意信息。
• 请查看 trezor.io 或 X 上经过验证的 Trezor 账号，获取真实通知。
• 任何人在关联页面上输入过备份的人，都应该将资金转移到新钱包。

泄露的联系方式加上真实的发件人域名，会抹去用户赖以辨别真伪的信号。

“现在，硬件钱包公司正遭到令人信服的钓鱼邮件攻击（至少听说 Trezor 和 BitBox 遭遇了这种情况）。很可能是某家营销邮件服务提供商遭到入侵了。这意味着会有更多客户的电子邮件地址泄露，”一位用户指出。

确实，瑞士制造的比特币硬件钱包 BitBox 也报告了类似事件，只不过钓鱼邮件是发送给其新闻邮件订阅者的。

据 BitBox 称，这些网络钓鱼攻击可能针对的是使用同一家电子简报服务商的比特币公司。

来源：BeInCrypto