Cảnh báo hack Trezor: Email về STM32 Entropy là một cuộc tấn công giả mạo

Nếu một tin nhắn có tiêu đề "Cảnh báo bảo mật quan trọng: Lỗ hổng Entropy STM32" xuất hiện trong hộp thư đến của bạn tuần này, có vẻ như từ Trezor, thông báo rằng một trong bốn thiết bị được xuất xưởng với chip bị lỗi và mời bạn chạy kiểm tra entropy trong trình duyệt, hãy dừng lại. Đừng nhấp vào bất cứ điều gì trong đó. Trezor không hề gửi nó.

Công ty đã xác nhận vào thứ Tư rằng những kẻ tấn công đã xâm nhập vào hạ tầng email của họ và sử dụng nó để gửi hàng loạt cảnh báo bảo mật giả mạo đến khách hàng. Email này là một công cụ thu thập mã khóa được ngụy trang dưới dạng một lời xin lỗi, và nó là một trong những nỗ lực lừa đảo thuyết phục nhất mà không gian ví phần cứng từng thấy trong nhiều năm.

Cảnh báo bảo mật Trezor giả mạo thực sự tuyên bố điều gì?

Email mở đầu với giọng điệu của một công ty đang thú nhận về một thảm họa. Nó tuyên bố đội ngũ kỹ thuật của Trezor đã tìm thấy một lỗi cấp độ phần cứng trong các vi điều khiển STM32 bên trong thiết bị của mình, rằng lỗi này đã có từ khi sản xuất tại nhà máy và khoảng một trong bốn thiết bị bị ảnh hưởng. Nó nói rằng lỗi này tạo ra các cụm từ khôi phục chỉ với 40 bit entropy, khiến các mã khóa dễ bị tấn công vét cạn (brute-force).

Sau đó, nó thực hiện một chiêu trò thông minh. Nó nói với người đọc rằng đừng bao giờ nhập cụm từ khôi phục trên một trang web hoặc chia sẻ nó với bất kỳ ai. Hai đoạn sau, nó mời chính người đọc đó nhấp vào một liên kết và chạy "công cụ kiểm tra entropy" để xác minh mã kiểm tra BIP-39 trên các cụm từ 12, 18 và 24 từ, xác thực các phần chia SLIP-39 và xuất các khóa công khai mở rộng.