Виробник апаратних гаманців Trezor заявив, що його сторонній постачальник послуг зазнав злому, і попередив користувачів, що лист із заголовком “Critical Security Alert: STM32 Entropy Vulnerability” був надісланий не компанією, а є спробою фішингу.

Компанія закликала користувачів не переходити за жодними посиланнями.

Фішингова афера з Trezor

В оновленні в X компанія Trezor повідомила, що видалила домен і розслідує, як хакери отримали доступ до її легітимного домену. Це фішингове повідомлення намагалося переконати користувачів, що в мікроконтролерах STM32, які використовуються в її пристроях, виявлено серйозну вразливість безпеки. Згідно зі сфабрикованим попередженням, мікроконтролери STM32 могли генерувати сід-фрази відновлення без достатньої випадковості, що потенційно ставило під загрозу кошти користувачів. У листі також стверджується, що постраждати можуть до 25% пристроїв.

За словами генерального директора та співзасновника Casa Ніка Ноймана, проблема може не обмежуватися користувачами Trezor. Він зазначив, що повідомлення про подібні листи з'являлися і серед людей, які використовують пристрій BitBox.

Це не перший випадок, коли сторонній партнер, пов'язаний із Trezor, зазнає витоку даних. У серпні платформа розкрила подібний інцидент безпеки за участю свого логістичного партнера ShipMonk, через що були скомпрометовані особисті дані великої кількості клієнтів.

Розкрита інформація включала контактні дані та дані про доставку. За ранішими даними, кількість постраждалих становила 13,689 осіб. Проте пізніше Trezor підтвердила, що постраждали ще приблизно 67,000 клієнтів із США, через що загальна кількість людей, чиї дані були розкриті, зросла до 80,689.

Проблеми з обладнанням

Окремий тест безпеки також викликав занепокоєння щодо чипа TROPIC01, встановленого в гаманці Trezor Safe 7. У червні дослідники Donjon з Ledger виявили, що за наявності спеціалізованого обладнання та фізичного доступу до пристрою зловмисник може втрутитися в роботу чипа під час перевірки прошивки.

Дослідники використовували ретельно сфокусований лазер із довжиною хвилі 1064 нм, щоб викликати збої в процесі завантаження та оновлення. Це могло дозволити запустити модифіковану прошивку. Втім, у Trezor заявили, що ця знахідка не ставить під загрозу кошти користувачів.

Блокчейн-дослідник ZachXBT і раніше досить різко висловлювався про апаратні гаманці. Він раніше заявляв, що всі апаратні гаманці — це “повне сміття”, і що він не використовував би їх для важливих транзакцій чи зберігання коштів, запропонувавши натомість тримати окремий iPhone виключно для використання як гаманця.

Source: CryptoPotato