Trezor'un Bitcoin (BTC) Cüzdan Kullanıcıları, Ele Geçirilen E-posta Alanından Gelen Phishing Saldırısıyla Karşı Karşıya

Phishing Mesajları Trezor'un Kendi Alanından Geldi

Donanım cüzdanı üreticisi Trezor, 9 Eylül'de kullandığı üçüncü taraf bir e-posta sağlayıcısının ihlal edildiğini doğruladı. Böylece saldırganlar, şirketin kendi meşru alan adından gelmiş gibi görünen phishing (oltalama) mesajları gönderebildi. Sahte e-postaların konu satırı “Critical Security Alert: STM32 Entropy Vulnerability” şeklindeydi ve abonelere, daha yeni Trezor cihazlarının içindeki STM32 mikrodenetleyicilerini etkilediği iddia edilen kritik bir rastgelelik açığı bildiriliyordu. Mesajlar, alıcıları acil bir güvenlik taraması yapmaya itiyordu; asıl amaç, kullanıcıları saldırgan kontrolündeki bir sayfaya cüzdan kurtarma ifadesini yazdırmaktı. Trezor'un X'te yayımladığı resmi açıklama, kullanıcılara bu uyarının şirketten gelmediğini söyledi, hiçbir bağlantıya tıklamamalarını istedi ve etkilenen alan adının devre dışı bırakıldığını, saldırganların gönderim erişimini nasıl elde ettiğinin araştırılmaya devam edildiğini teyit etti. 10 Eylül itibarıyla şirket, mesajların kaç kişiye ulaştığını, e-posta tedarikçisinin kim olduğunu veya kullanıcı tarafında doğrulanmış bir kayıp olup olmadığını açıklamış değil.

X'te yayımladığıhttps://x.com/Trezor/status/2097786518110609620?s=20

Aynı Kampanya BitBox ve CoinTracking'e de Sıçradı

Etki alanı Trezor'un çok ötesine geçmiş durumda. Aynı ele geçirilmiş e-posta platformu BitBox, CoinTracking, Peach Bitcoin ve Blocktrainer'ı da sunuyor ve dört şirket de kendi müşterilerine uyarı yayımladı. Dolaşıma giren ekran görüntüleri, kampanyanın markaya göre özelleştirildiğini gösteriyor: CoinTracking alıcılarına uydurma bir veri ihlali bildirimi gönderilirken, BitBox kullanıcılarına mikrodenetleyici kaynaklı bir entropy açığı anlatılıyordu. Olayı teknik açıdan ciddi kılan şu: mesajlar taklit sahtecilik değildi. Trezor'un resmi forumunda tam e-posta başlıklarını paylaşan kullanıcılar, postanın mailing.trezor.io üzerinden yönlendirildiğini gösterdi; birkaç kişi de mesajın SPF, DKIM ve DMARC kimlik doğrulama kontrollerini geçtiğini bildirdi. Bağımsız incelemeler ayrıca kötü amaçlı bağlantıların ilk aşamada Trezor'un kendi e-posta takip alt alanı üzerinden yönlendirildiğini tespit etti — yani temkinli bir alıcı fareyi bağlantının üzerine getirip baktığında bile güvenilir görünen bir altyapıyla karşılaşıyordu. Güvenlik araştırmacıları etkilenen platform olarak Brevo'yu işaret ediyor; ancak Trezor tedarikçiyi resmen açıklamadığı için bu isimlendirme henüz doğrulanmış sayılmıyor.

Dolaşıma giren ekran görüntülerihttps://x.com/Trezor/status/2097948765357236502?s=20

ShipMonk İhlali 80.000 Müşteriyi Açığa Çıkarmıştı

E-posta ele geçirme olayı, haftalar önce yaşanan ayrı bir tedarikçi zaafının üzerine geldi. Trezor 13 Ağustos'ta, kargo ortağı ShipMonk'ün ihlal edildiğini ve ilk tespitte 11.742 müşterinin tam iletişim bilgilerinin — isim, e-posta, telefon ve kargo adresleri — açığa çıktığını duyurmuştu; 1.947 müşteri de kısmen etkilenmişti ve bu kayıtlar Mayıs ile Ağustos arasındaki siparişlere bağlıydı. Bu ayın başında şirket açıklamayı genişletti: ShipMonk, 90 günlük silme politikası uyarınca sözleşme gereği silmesi gereken eski sipariş verilerini saklamıştı ve Kasım 2019'a uzanan siparişlerle birlikte yaklaşık 67.000 ABD'li müşteri daha eklendi. Böylece toplam açığa çıkarma 80.000 müşterinin üzerine çıktı; ne var ki Trezor tek bir birleştirilmiş rakam yayımlamadı. Şirket o dönemde sızan verilerin, şu anda yaşanan türden hedefli phishing saldırılarını, telefon dolandırıcılıklarını ve fiziksel sosyal mühendislik girişimlerini besleyebileceği uyarısında bulunmuştu. ShipMonk sızıntısı ile e-posta ihlali arasında kamuya açık bir kanıt yok ve posta listesinin daha önce sızan kayıtlardan gelip gelmediği doğrulanmış değil. Hatırlatalım: Trezor'un destek talebi portalı da Ocak 2024'te ihlal edilmiş, yaklaşık 66.000 kullanıcı phishing riskine maruz kalmıştı. Piyasayı anlık izlemek isteyen okurlar, spot ve vadeli fiyatları Bybit üzerinden canlı takip edebilir.

Soğuk Depolama Tedarik Zinciri Riskini Ortadan Kaldırmıyor

Olay kaydına bakışımız şu yönde: burada tek bir tematik yay söz konusu — saldırganlar donanımı kırmaya çalışmıyor, etrafındaki her şeye saldırıyorlar. MEV (Maksimal Çıkarılabilir Değer) elde etme, omnichain köprü istismarları veya fonların bir crypto mixer (kripto karıştırıcı) üzerinden aklanması gibi zincir üstü tehditlerin aksine, burada boşaltılmış işlem gerekmiyor — bu kampanyaya bağlı zincir üstünde doğrulanmış bir kayıp henüz surface olmadı ve birincil kanıt, Trezor'un kendi olay açıklamaları olmaya devam ediyor. Şirketin düzeltme tavsiyesi de değişmedi: cüzdan kurtarma ifadenizi hiçbir web sitesine girmeyin; tohum ifadesi (seed phrase), PIN veya doğrulama kodu isteyen her türlü talebi, gönderen ne kadar gerçekçi görünürse görünsün, dolandırıcılık sayın.