Hackare kapar e-postkonton hos Trezor och Bitbox för att rikta in sig på kryptovalutaanvändare

Händelsen som inträffade den 9 och 10 september verkar sträcka sig bortom ett enda företag. Bitbox uppgav att flera bitcoin-företag hade utsatts för attacker och att de drabbade företagen tycktes ha samma nyhetsbrevsleverantör, medan Cointracking identifierade sin externa e-postleverantör som Brevo.

Trezor slår larm om en falsk säkerhetsvarning

Trezor informerade sina kunder om att ett e-postmeddelande med rubriken ”Kritisk säkerhetsvarning: STM32-entropisårbarhet” inte kom från tillverkaren av hårdvaruplånboken och varnade mottagarna för att klicka på några länkar. Företaget uppgav att dess externa e-postleverantör hade utsatts för ett dataintrång.

Attacken hade en särskilt otäck vändning: Trezor uppgav att hackare hade fått tillgång till företagets legitima domän. Det kan göra det betydligt svårare att upptäcka nätfiske, eftersom användare som är vana vid att kontrollera avsändaren kan se en bekant infrastruktur och anta att meddelandet är säkert. Trezor uppgav att den skadliga domänen hade tagits bort och att en utredning pågick.

Bitbox upptäcker tecken på en mer omfattande attack

Å andra sidan var detta inte enbart ett problem för Trezor. Bitbox uppgav att deras preliminära utredning pekade på att deras nyhetsbrevsleverantör sannolikt hade komprometterats efter att ett phishing-meddelande nått prenumeranterna. Ännu viktigare var att företaget uppgav att flera andra bitcoin-företag hade utsatts för attacker och tycktes använda samma leverantör.

Bitbox reagerade genom att skicka ut en egen varning om nätfiske, kontakta leverantören och anmäla skadliga domäner. De flesta av länkarna till nätfiske hade redan tagits bort när företaget publicerade sitt uttalande, även om utredningen fortfarande pågick.

Cointracking pekar ut Brevo som den komprometterade leverantören

Cointracking, en plattform för spårning av kryptovalutaportföljer och skattehantering, bidrog med ytterligare en pusselbit genom att identifiera Brevo som den externa e-postleverantören som var inblandad i incidenten.

Dess kunder mottog ett falskt meddelande med rubriken ”Meddelande om dataintrång: Uppdatera API-nycklarna så snart som möjligt.” Cointracking betonade att meddelandet var ett phishing-försök, uppmanade kunderna att inte klicka på länkarna och meddelade att man utredde dataintrånget.

”Klicka inte på några länkar i detta e-postmeddelande. Vi utreder för närvarande incidenten och kommer att lämna ytterligare information så snart den blir tillgänglig”, skrev Cointracking.

Kryptovalutaföretag står inför ännu en omgång av säkerhetshot mot kunderna

Tidpunkten är svår att svälja för användare av hårdvaruplånböcker. Safepal och Trezor drabbades var för sig av läckor av kunddata i augusti, även om ingen av incidenterna äventyrade seed-fraser, privata nycklar eller medel i plånböckerna.

SafePal uppgav att en brist i auktoriseringssystemet ledde till att information om cirka 39 798 kunder exponerades, medan Trezors läcka i samband med Shipmonk i slutändan påverkade ungefär 81 000 beställningar. Namn, adresser, telefonnummer och annan kundinformation kan ge angripare underlag för mer övertygande phishing-försök, även om plånböckerna i sig förblir säkra.

Säkerhetskapplöpningen tar fart

Det övergripande hotet förändras också i takt med att artificiell intelligens gör det billigare och snabbare att hitta sårbarheter i programvara. I maj använde Taylor Hornby Claude Opus 4.8 för att avslöja en fyra år gammal brist i Zcash Orchard, medan agenter från Anthropic senare reproducerade hundratals historiska utnyttjanden inom decentraliserad finans (DeFi) som motsvarade cirka 550 miljoner dollar i simulerade förluster.

I augusti skannade ett frivilligt Bitcoin Red Team 390 projekt och rapporterade 4 962 fynd på ungefär 30 timmar, däribland 85 som klassificerades som kritiska. Forskare och angripare har i allt högre grad tillgång till samma kraftfulla verktyg, vilket tvingar kryptovalutaföretagen att balansera på en slak lina där den avgörande frågan helt enkelt kan vara vem som upptäcker svagheten först.

För kunder hos Trezor, Bitbox och Cointracking är den omedelbara prioriteringen enklare: undvik de identifierade phishing-mejlen och deras länkar medan företagen utreder vad som har hänt. Vad som händer därefter beror på hur den gemensamma e-postinfrastrukturen komprometterades, hur omfattande attacken var och om ytterligare kryptovalutaföretag avslöjar liknande incidenter.