Hakerzy przejmują kontrolę nad kontami e-mailowymi Trezor i Bitbox, by atakować użytkowników kryptowalut

Incydent, który miał miejsce 9 i 10 września, wydaje się wykraczać poza ramy jednej firmy. Bitbox poinformował, że celem ataku padło wiele firm z branży bitcoinowej, a poszkodowane przedsiębiorstwa wydają się korzystać z usług tego samego dostawcy newsletterów, podczas gdy Cointracking zidentyfikował swojego zewnętrznego dostawcę usług pocztowych jako firmę Brevo.

Trezor bije na alarm w związku z fałszywym ostrzeżeniem dotyczącym bezpieczeństwa

Firma Trezor poinformowała klientów, że wiadomość e-mail zatytułowana „Krytyczny alert bezpieczeństwa: luka w zabezpieczeniach STM32 Entropy” nie pochodziła od producenta portfela sprzętowego i ostrzegła odbiorców, aby nie klikali żadnych linków. Firma poinformowała, że doszło do włamania do jej zewnętrznego dostawcy usług poczty elektronicznej.

Atak miał szczególnie podstępny charakter: firma Trezor poinformowała, że hakerzy uzyskali dostęp do jej legalnej domeny. Może to znacznie utrudnić wykrycie phishingu, ponieważ użytkownicy przyzwyczajeni do sprawdzania nadawcy mogą dostrzec znaną infrastrukturę i założyć, że wiadomość jest bezpieczna. Firma Trezor poinformowała, że złośliwa domena została zablokowana, a dochodzenie w tej sprawie jest w toku.

Bitbox wykrywa oznaki szerszego ataku

Z drugiej strony nie był to wyłącznie problem firmy Trezor. Firma Bitbox poinformowała, że wstępne dochodzenie wskazuje, iż dostawca jej newslettera został prawdopodobnie zhakowany po tym, jak wiadomość phishingowa dotarła do subskrybentów. Co ważniejsze, firma stwierdziła, że celem ataku padło kilka innych przedsiębiorstw z branży bitcoinowej, które najprawdopodobniej korzystały z usług tego samego dostawcy.

Bitbox zareagował, wysyłając własne ostrzeżenie przed phishingiem, kontaktując się z dostawcą oraz zgłaszając złośliwe domeny. Większość linków phishingowych została już usunięta w momencie wydania oświadczenia przez firmę, choć dochodzenie nadal trwało.

Cointracking wskazuje Brevo jako dostawcę, którego systemy zostały przejęte

Cointracking, platforma do śledzenia portfeli kryptowalutowych i rozliczeń podatkowych, dostarczyła kolejny element układanki, identyfikując Brevo jako zewnętrznego dostawcę usług poczty elektronicznej zaangażowanego w ten incydent.

Jej klienci otrzymali fałszywą wiadomość zatytułowaną „Powiadomienie o naruszeniu danych: Prosimy o jak najszybsze odświeżenie kluczy API”. Cointracking podkreślił, że wiadomość ta miała charakter phishingowy, poinformował klientów, by nie klikali zawartych w niej linków, oraz oświadczył, że prowadzi dochodzenie w sprawie naruszenia.

„Nie klikajcie żadnych linków zawartych w tej wiadomości e-mail. Obecnie prowadzimy dochodzenie w sprawie tego incydentu i przekażemy dalsze informacje, gdy tylko będą dostępne” – napisał Cointracking.

Firmy kryptowalutowe stoją w obliczu kolejnej fali zagrożeń dla bezpieczeństwa klientów

Ten moment jest trudny do przełknięcia dla użytkowników portfeli sprzętowych. W sierpniu firmy Safepal i Trezor oddzielnie doświadczyły wycieków danych klientów, choć w żadnym z tych incydentów nie doszło do ujawnienia fraz seed, kluczy prywatnych ani środków zgromadzonych w portfelach.

Firma SafePal poinformowała, że luka w systemie autoryzacji spowodowała ujawnienie informacji należących do około 39 798 klientów, natomiast wyciek związany z firmą Shipmonk, który dotknął Trezora, ostatecznie dotyczył około 81 000 zamówień. Nazwiska, adresy, numery telefonów i inne dane klientów mogą dostarczyć atakującym materiału do bardziej przekonujących prób phishingu, nawet jeśli same portfele pozostają bezpieczne.

Wyścig o bezpieczeństwo nabiera tempa

Ogólny charakter zagrożeń również ulega zmianie, ponieważ sztuczna inteligencja sprawia, że wykrywanie luk w oprogramowaniu staje się tańsze i szybsze. W maju Taylor Hornby wykorzystał Claude Opus 4.8 do wykrycia istniejącej od czterech lat luki w Zcash Orchard, podczas gdy agenci firmy Anthropic odtworzyli później setki historycznych exploitów z zakresu zdecentralizowanych finansów (DeFi), reprezentujących około 550 milionów dolarów symulowanych strat.

W sierpniu zespół wolontariuszy Bitcoin Red Team przeanalizował 390 projektów i zgłosił 4 962 ustalenia w ciągu około 30 godzin, w tym 85 sklasyfikowanych jako krytyczne. Badacze i atakujący mają coraz większy dostęp do tych samych potężnych narzędzi, co stawia firmy kryptowalutowe w sytuacji balansowania na linie, gdzie decydującym pytaniem może być po prostu to, kto pierwszy wykryje słaby punkt.

Dla klientów Trezor, Bitbox i Cointracking najbliższy priorytet jest prostszy: należy unikać zidentyfikowanych wiadomości phishingowych i zawartych w nich linków, podczas gdy firmy badają, co się stało. To, co nastąpi dalej, zależy od tego, w jaki sposób doszło do naruszenia wspólnej infrastruktury pocztowej, jak szeroko rozprzestrzenił się atak oraz czy inne firmy z branży kryptowalut ujawnią podobne incydenty.