Hackers kapen e-mailaccounts van Trezor en Bitbox om cryptogebruikers te benaderen

Het incident dat zich op 9 en 10 september voordeed, lijkt verder te reiken dan één enkel bedrijf. Bitbox meldde dat meerdere bitcoinbedrijven het doelwit waren en dat de getroffen bedrijven blijkbaar dezelfde nieuwsbriefprovider gebruikten, terwijl Cointracking Brevo als zijn externe e-mailprovider identificeerde.

Trezor slaat alarm over een valse beveiligingswaarschuwing

Trezor liet klanten weten dat een e-mail met de titel „Critical Security Alert: STM32 Entropy Vulnerability“ niet afkomstig was van de fabrikant van de hardware-wallet en waarschuwde ontvangers om op geen enkele link te klikken. Het bedrijf meldde dat zijn externe e-mailprovider was gehackt.

De aanval had een bijzonder vervelende wending: Trezor meldde dat hackers toegang hadden gekregen tot zijn legitieme domein. Dat kan phishing aanzienlijk moeilijker te herkennen maken, omdat gebruikers die gewend zijn de afzender te controleren, een vertrouwde infrastructuur kunnen zien en ervan uitgaan dat het bericht veilig is. Trezor meldde dat het kwaadaardige domein was verwijderd en dat er een onderzoek gaande was.

Bitbox ontdekt aanwijzingen voor een grotere aanval

Aan de andere kant was dit niet alleen een probleem van Trezor. Bitbox meldde dat uit voorlopig onderzoek bleek dat zijn nieuwsbriefprovider waarschijnlijk was gehackt nadat een phishingbericht abonnees had bereikt. Belangrijker nog was dat het bedrijf aangaf dat verschillende andere bitcoinbedrijven het doelwit waren en kennelijk gebruik maakten van dezelfde provider.

Bitbox reageerde door een eigen phishingwaarschuwing te versturen, contact op te nemen met de aanbieder en kwaadaardige domeinen te melden. De meeste phishinglinks waren al verwijderd toen het bedrijf zijn verklaring uitbracht, hoewel het onderzoek nog steeds gaande was.

Cointracking noemt Brevo als zijn gehackte provider

Cointracking, een platform voor het bijhouden van cryptovalutaportefeuilles en belastingaangifte, leverde een nieuw stukje van de puzzel door Brevo te identificeren als de externe e-maildienstverlener die bij het incident betrokken was.

Zijn klanten ontvingen een vals bericht met de titel „Kennisgeving van datalek: vernieuw alstublieft zo snel mogelijk uw API-sleutels.” Cointracking benadrukte dat het bericht phishing was, adviseerde klanten niet op de links te klikken en meldde dat het het incident onderzoekt.

"Klik niet op links in deze e-mail. We onderzoeken het incident momenteel en zullen verdere informatie verstrekken zodra die beschikbaar is", schreef Cointracking.

Cryptobedrijven worden geconfronteerd met een nieuwe reeks bedreigingen voor de veiligheid van hun klanten

De timing is een bittere pil voor gebruikers van hardware-wallets. Safepal en Trezor hadden in augustus afzonderlijk te maken met lekken van klantgegevens, hoewel bij geen van beide incidenten seed-zinnen, privésleutels of wallet-tegoeden in gevaar kwamen.

SafePal meldde dat door een autorisatiefout informatie van ongeveer 39.798 klanten openbaar werd gemaakt, terwijl het Shipmonk-gerelateerde lek bij Trezor uiteindelijk gevolgen had voor ongeveer 81.000 bestellingen. Namen, adressen, telefoonnummers en andere klantgegevens kunnen aanvallers materiaal verschaffen voor overtuigender phishingpogingen, zelfs als de wallets zelf veilig blijven.

De strijd om beveiliging komt in een stroomversnelling

De bredere dreiging verandert ook naarmate kunstmatige intelligentie het opsporen van kwetsbaarheden in software goedkoper en sneller maakt. In mei gebruikte Taylor Hornby Claude Opus 4.8 om een vier jaar oude kwetsbaarheid in Zcash Orchard aan het licht te brengen, terwijl agenten van Anthropic later honderden historische exploits in de gedecentraliseerde financiële sector (DeFi) reproduceerden, die neerkwamen op ongeveer 550 miljoen dollar aan gesimuleerde verliezen.

In augustus scande een vrijwilliger van het Bitcoin Red Team 390 projecten en rapporteerde in ongeveer 30 uur 4.962 bevindingen, waaronder 85 die als kritiek werden aangemerkt. Onderzoekers en aanvallers hebben in toenemende mate toegang tot dezelfde krachtige tools, waardoor cryptobedrijven op een dunne koord lopen waarbij de doorslaggevende vraag simpelweg kan zijn wie de zwakke plek als eerste ontdekt.

Voor klanten van Trezor, Bitbox en Cointracking is de onmiddellijke prioriteit eenvoudiger: vermijd de geïdentificeerde phishing-e-mails en de links daarin, terwijl de bedrijven onderzoeken wat er is gebeurd. Wat er daarna gebeurt, hangt af van hoe de gedeelde e-mailinfrastructuur is gecompromitteerd, hoe wijdverspreid de aanval was en of andere cryptocurrency-bedrijven soortgelijke incidenten melden.