新一轮钓鱼攻击散布虚假Trezor警报，声称25%的设备存在漏洞

硬件钱包制造商 Trezor 表示，其第三方服务提供商遭到入侵，并提醒用户，标题为“严重安全警报：STM32 熵漏洞”的邮件并非由该公司发送，而是一次钓鱼攻击。

该公司敦促用户不要点击任何链接。

Trezor 钓鱼诈骗

Trezor 在 X 上发布更新称，已关闭该域名，并正在调查黑客如何访问其合法域名。相关钓鱼邮件试图让用户相信，其设备中使用的 STM32 微控制器被发现存在严重安全漏洞。根据这则伪造的警告，STM32 微控制器生成恢复短语时可能缺乏足够的随机性，从而可能使用户资金面临风险。邮件还声称，多达 25% 的设备可能受到影响。

Casa 首席执行官兼联合创始人 Nick Neuman 表示，这一问题可能并不局限于 Trezor 用户。他指出，使用 BitBox 设备的用户中也出现了类似消息的报告。

这并非 Trezor 相关第三方合作伙伴首次遭遇安全漏洞。今年 8 月，该平台披露了一起类似的安全事件，涉及其物流合作伙伴 ShipMonk；该事件导致大量客户的个人信息遭到泄露。

泄露的信息包括联系方式和配送数据。早先的披露称，受影响人数为13,689人。不过，Trezor后来确认，另有约67,000名美国客户受到影响，使信息泄露的总人数达到80,689人。

硬件安全隐忧

另一项安全测试也对Trezor Safe 7钱包中的TROPIC01芯片提出了担忧。6月，Ledger的Donjon研究人员发现，如果攻击者拥有专业设备并能接触设备，就可以在芯片检查固件时对其进行干扰。

研究人员使用经过精确聚焦的1064纳米激光器，在启动和更新过程中触发故障。这可能让经过修改的固件得以运行。不过，Trezor表示，这项发现不会危及用户的资金。

区块链调查员ZachXBT过去曾毫不掩饰自己对硬件钱包的看法。他此前表示，所有硬件钱包都“简直一无是处”，自己不会用它们进行重要交易或存放资金；他还建议单独准备一部iPhone，仅用于钱包操作。

来源：CryptoPotato