Le fabricant de portefeuilles Bitcoin Trezor annonce le piratage de son fournisseur d'e-mails

En bref

• Trezor a déclaré que son fournisseur de messagerie tiers a été piraté et utilisé pour envoyer des e-mails de phishing.
• La fausse alerte prétendait qu'une faille matérielle STM32 affaiblissait les phrases de récupération sur certains appareils Trezor.
• Les chercheurs en sécurité ont déclaré que des e-mails similaires ciblant les utilisateurs de BitBox pourraient indiquer une compromission plus large des fournisseurs de messagerie des portefeuilles matériels.

Le fabricant de portefeuilles matériels Trezor a averti les utilisateurs mercredi que des pirates ont compromis son fournisseur de messagerie tiers et l'ont utilisé pour diffuser un e-mail de phishing déguisé en avertissement de sécurité critique.

« Veuillez noter que l'e-mail intitulé « Critical Security Alert: STM32 Entropy Vulnerability » ne provient pas de nous, et qu'il s'agit d'une tentative de phishing. Ne cliquez sur aucun lien », a écrit Trezor sur X.

Trezor a déclaré avoir mis hors ligne le domaine utilisé dans l'attaque et enquête sur la manière dont les pirates ont accédé à son domaine légitime.

Le faux e-mail Trezor prétend que les ingénieurs de l'entreprise ont découvert une « vulnérabilité critique au niveau matériel » dans les microcontrôleurs STM32 utilisés dans ses appareils. Il affirme ensuite faussement que le défaut affecte environ un appareil sur quatre et pourrait laisser les phrases de récupération avec un caractère aléatoire, ou entropie, insuffisant, jouant probablement sur les craintes liées au récent exploit Coldcard qui a coûté aux utilisateurs plus de $130 million en Bitcoin.