Hackere kaprer Trezor- og Bitbox-e-poster for å gå etter kryptobrukere

Hendelsen som fant sted 9. og 10. september ser ut til å strekke seg utover ett enkelt selskap. Bitbox sa at flere bitcoin-selskaper ble målrettet og at de berørte virksomhetene så ut til å dele den samme nyhetsbrevleverandøren, mens Cointracking identifiserte sin tredjeparts e-postleverandør som Brevo.

Trezor slår alarm om et falskt sikkerhetsvarsel

Trezor informerte kunder om at en e-post med tittelen «Critical Security Alert: STM32 Entropy Vulnerability» ikke kom fra produsenten av maskinvarelommebøker, og advarte mottakerne mot å klikke på noen lenker. Selskapet sa at deres tredjeparts e-postleverandør hadde blitt kompromittert.

Angrepet hadde en spesielt stygg vri: Trezor sa at hackere fikk tilgang til deres legitime domene. Det kan gjøre phishing betydelig vanskeligere å oppdage, fordi brukere som er vant til å sjekke avsenderen kan se kjent infrastruktur og anta at meldingen er trygg. Trezor sa at det ondsinnede domenet var tatt ned, og at en etterforskning var igangsatt.

Bitbox finner tegn på et bredere angrep

På den andre siden var dette ikke bare et Trezor-problem. Bitbox sa at deres foreløpige etterforskning indikerte at nyhetsbrevleverandøren deres sannsynligvis var kompromittert etter at en phishing-melding nådde abonnenter. Viktigere var det at selskapet sa at flere andre bitcoin-virksomheter ble målrettet og så ut til å bruke den samme leverandøren.

Bitbox svarte ved å sende sin egen phishing-advarsel, kontakte leverandøren og rapportere ondsinnede domener. De fleste phishing-lenkene var allerede tatt ned da selskapet publiserte uttalelsen sin, selv om etterforskningen fortsatt pågikk.

Cointracking oppgir Brevo som sin kompromitterte leverandør

Cointracking, en kryptovaluta-porteføljesporer og skatteplattform, bidro med en ny brikke i puslespillet ved å identifisere Brevo som tredjepartsleverandøren av e-posttjenester som var involvert i hendelsen deres.

Kundene deres mottok en falsk melding med tittelen «Data Breach Notice: Please refresh API Keys as soon as possible.» Cointracking understreket at meldingen var phishing, ba kundene om ikke å klikke på lenkene, og sa at de etterforsket bruddet.

«Ikke klikk på noen lenker som finnes i denne e-posten. Vi etterforsker for øyeblikket hendelsen og vil gi ytterligere informasjon så snart den blir tilgjengelig», skrev Cointracking.

Kryptoselskaper møter nok en runde med sikkerhetstrusler mot kunder

Tidspunktet er en tung pille å svelge for brukere av maskinvarelommebøker. Safepal og Trezor ble separat rammet av lekkasjer av kundedata i august, selv om ingen av hendelsene kompromitterte seed phrases, private nøkler eller midler i lommebøkene.

SafePal sa at en autorisasjonssvakhet eksponerte informasjon som tilhørte rundt 39 798 kunder, mens Trezors Shipmonk-relaterte lekkasje til slutt berørte omtrent 81 000 ordre. Navn, adresser, telefonnumre og annen kundeinformasjon kan gi angripere materiale til mer overbevisende phishing-forsøk, selv når selve lommebøkene forblir sikre.

Sikkerhetskappløpet tar fart

Den bredere trusselen endrer seg også ettersom kunstig intelligens gjør det billigere og raskere å finne programvaresårbarheter. I mai brukte Taylor Hornby Claude Opus 4.8 til å avdekke en fire år gammel feil i Zcash Orchard, mens Anthropic-agenter senere reproduserte hundrevis av historiske desentraliserte finans (DeFi)-utnyttelser som representerte rundt 550 millioner dollar i simulerte tap.

I august skannet et frivillig Bitcoin Red Team 390 prosjekter og rapporterte 4 962 funn på omtrent 30 timer, inkludert 85 som ble klassifisert som kritiske. Forskere og angripere har i økende grad tilgang til de samme kraftige verktøyene, noe som gjør at kryptoselskaper balanserer på en knivsegg der det avgjørende spørsmålet ganske enkelt kan være hvem som finner svakheten først.

For Trezor-, Bitbox- og Cointracking-kunder er den umiddelbare prioriteringen enklere: unngå de identifiserte phishing-e-postene og lenkene deres mens selskapene etterforsker hva som skjedde. Hva som kommer videre, avhenger av hvordan den delte e-postinfrastrukturen ble kompromittert, hvor bredt angrepet spredte seg, og om flere kryptovalutaselskaper offentliggjør lignende hendelser.