هشدار جعلی Trezor کاربران را هدف گرفت؛ ادعای آسیب‌پذیری ۲۵٪ دستگاه‌ها دروغ است

ترزور اعلام کرد یکی از ارائه‌دهندگان ثالثش هدف نقض امنیتی قرار گرفته و ایمیلی با عنوان «هشدار امنیتی حیاتی: آسیب‌پذیری آنتروپی STM32» از سوی این شرکت ارسال نشده است. این پیام در واقع تلاشی فیشینگ است و Trezor از کاربران خواست روی هیچ لینکی کلیک نکنند.

این شرکت در به‌روزرسانی خود در پلتفرم X گفت دامنه مرتبط را از دسترس خارج کرده و در حال بررسی این است که هکرها چگونه به دامنه معتبر آن دسترسی پیدا کرده‌اند.

ایمیل جعلی تلاش می‌کند کاربران را متقاعد کند که نقص امنیتی جدی در میکروکنترلرهای STM32 به‌کاررفته در دستگاه‌های Trezor پیدا شده است. بر اساس این هشدار ساختگی، این میکروکنترلرها ممکن است عبارت‌های بازیابی را بدون تصادفی‌سازی کافی تولید کنند و در نتیجه سرمایه کاربران را در معرض خطر قرار دهند. این ایمیل همچنین ادعا می‌کند ممکن است ۲۵٪ دستگاه‌ها تحت تأثیر باشند.

نیک نیومن، مدیرعامل و هم‌بنیان‌گذار Casa، می‌گوید احتمالاً این مشکل به کاربران Trezor محدود نمی‌شود و گزارش‌هایی از پیام‌های مشابه میان کاربران دستگاه BitBox نیز منتشر شده است.

این نخستین بار نیست که یک شریک ثالث مرتبط با Trezor دچار نقض امنیتی می‌شود. در ماه اوت، این پلتفرم از حادثه امنیتی مشابهی در شرکت لجستیک ShipMonk خبر داد که جزئیات شخصی شمار زیادی از مشتریان را افشا کرد. اطلاعات افشاشده شامل داده‌های تماس و تحویل بود. در افشای اولیه شمار افراد تحت تأثیر ۱۳٬۶۸۹ نفر اعلام شد، اما Trezor بعداً تأیید کرد حدود ۶۷٬۰۰۰ مشتری دیگر در آمریکا نیز آسیب دیده‌اند و مجموع افراد افشاشده به ۸۰٬۶۸۹ نفر رسید.

یک آزمایش امنیتی جداگانه نیز نگرانی‌هایی درباره تراشه TROPIC01 در کیف پول Safe 7 شرکت Trezor ایجاد کرده است. در ژوئن، پژوهشگران Donjon در Ledger دریافتند با تجهیزات تخصصی و دسترسی فیزیکی به دستگاه، مهاجم می‌تواند هنگام بررسی فریم‌ور توسط تراشه اختلال ایجاد کند. آن‌ها از لیزر ۱۰۶۴ نانومتری با تمرکز دقیق برای ایجاد خطا در فرایند بوت و به‌روزرسانی استفاده کردند؛ روشی که می‌تواند اجرای فریم‌ور دستکاری‌شده را ممکن کند. Trezor اما می‌گوید این یافته سرمایه کاربران را در معرض خطر قرار نمی‌دهد.

زک‌ایکس‌بی‌تی، پژوهشگر بلاکچین، پیش‌تر انتقاد تندی به کیف پول‌های سخت‌افزاری کرده بود.

همه کیف پول‌های سخت‌افزاری کاملاً بی‌ارزش هستند.

ZachXBT

او گفته برای تراکنش‌های مهم یا نگهداری سرمایه از این کیف پول‌ها استفاده نمی‌کند و پیشنهاد کرده کاربران یک آیفون جداگانه فقط برای استفاده از کیف پول نگه دارند.