Mga gumagawa ng hardware wallet ay nagsasabi na ginamit ng mga attacker ang komprometadong infrastruktura ng email upang magpadala ng mga phishing message sa mga holder ng crypto.
Ang Trezor at BitBox, dalawang kilalang maker ng cryptocurrency hardware wallet, ay naglabas ng mga babala sa mga customer tungkol sa mga pekeng security alert. Sabi ng mga kumpanya, ang mga mensahe ay disenyo upang mukhang legit na komunikasyon mula sa mga tagapagawa mismo.
Napatunayan ng Trezor na nakakapasok ang mga hacker sa kanilang email service provider. Pinahintulutan ng paglabas na ito ang mga mangmamaliit na magpadala ng phishing emails sa pamamagitan ng infrastraktura na kaugnay ng pangalan ng kumpanya, ayon sa firma. Hindi pa nalalaman ang eksaktong sakop ng paglabas, kabilang ang bilang ng mga email address ng customer na nailabas.
Ibinigay ng BitBox ang parehong babala sa parehong panahon, nag-alala sa kanilang sariling base ng mga gumagamit tungkol sa mga fraudulent na mga abiso sa seguridad. Hindi pa rin malinaw kung ang dalawang insidente ay direktang konektado o kaya ay magkakahiwalay na mga phishing campaign na nakatutok sa mga gumagamit ng hardware wallet.
Ang mga phishing attack sa mga customer ng hardware wallet ay karaniwang nagtatangka na manlinlang sa mga gumagamit upang ipasok ang kanilang recovery seed phrase sa isang pekeng website o device interface. Ang mga hardware wallet ay disenyo upang panatilihin ang mga private key nang offline, malayo sa mga device na konektado sa internet. Ang seguridad na modelo na ito ay tumutugon lamang kung iiwasan ng mga gumagamit ang pagbabahagi ng kanilang seed phrase, isang serye ng mga salita na maaaring buuin muli ang pag-access sa isang wallet, sa sinuman o anumang website.
Ang mga attacker na nakakapagpapakilala sa isang email provider na ginagamit ng isang tiwalaang brand ay maaaring magpadala ng mga mensahe na tila galing sa opisyal na support channel. Ito ang nagiging dahilan kung bakit mas mahirap para sa mga tatanggap na makita ang mga fraudulent na alert bilang mali. Pinayuhan ng Trezor at BitBox ang kanilang mga customer na mag-ingat sa anumang unsolicited na security warning at i-verify ang anumang komunikasyon sa pamamagitan ng opisyal na channel bago gawin ang anumang aksyon.
Hindi sinabi ng anumang kumpanya na direkta na binigo ang mga pondo ng customer o mga device bilang resulta ng pagbubukas ng email. Ang mga babala ay nakatuon sa mga phishing email mismo kaysa sa anumang nasumpungan na pagkawala ng mga ari-arian. Inabot na pagsuri muli ng mga tagagamit ng parehong wallet ang mga address ng tagapagpadala at iwasan ang pag-click sa mga link sa hindi inaasahang mga abiso sa seguridad.
Epekto sa Merkado
Ang mga phishing campaign na nagtatarget sa mga gumagamit ng hardware wallet ay karaniwang nagdudulot ng mas malawak na pag-aalala tungkol sa mga panganib sa seguridad ng supply-chain at sa galing ng vendor sa sektor ng crypto custody. Kahit na limitado ang paglabas sa infrastruktura ng email kaysa sa firmware ng wallet o mga private key, ang mga insidente tulad nito ay maaaring magdulot ng pagkawala ng tiwala ng mga user sa mga channel ng komunikasyon na ginagamit ng mga kumpanya upang makipag-ugnayan sa kanilang mga customer.
Para sa mas malawak na merkado ng hardware wallet, karaniwang nagdudulot ang ganitong insidente ng pagpapalakas muli sa edukasyon ng mga user tungkol sa seguridad ng seed phrase at pagkilala sa phishing. Ayon sa mga nareport, hindi ito nagpapakita ng kahinaan sa pader na seguridad ng hardware na nagpapanatili ng mga private key offline.
Ang mga babala mula sa Trezor at BitBox ay nagpapakita na ang phishing batay sa email ay patuloy na isang matinding banta kahit para sa mga provider ng hardware wallet na nakatuon sa kaligtasan. Inirerekomenda sa mga gumagamit na patunayan ang mga komunikasyon sa pamamagitan ng opisyal na mga channel ng kumpanya at huwag kailanman ibahagi ang mga recovery phrase bilang tugon sa mga hindi hiniling na alerto.
Madaling Tanong
Ano ang nangyari sa email provider ng Trezor?
Sinabi ng Trezor na sinira ng mga hacker ang kanilang email service provider, na ginamit ng mga attacker upang magpadala ng mga phishing message sa mga crypto user.
Nasira ba ang mga pera ng customer o ang mga hardware wallet?
Hindi nag-rereport ang Trezor at BitBox ng nasirang pera. Ang mga babala ay tungkol sa mga fraudulent email alert, hindi sa paglabas ng hardware ng wallet o mga private key.
Bakit naglabas ng babala ang BitBox?
Binigyan ng babala ng BitBox ang mga user nito tungkol sa mga katulad na pekeng mga alerto sa seguridad, bagaman hindi malinaw kung ang insidente nito ay direktang nauugnay sa paglabas ng email ng Trezor.
Paano makakaprotektahan ang mga user sa mga phishing attempt na ito?
Dapat i-verify ng mga user ang anumang alert sa seguridad sa pamamagitan ng opisyal na mga channel ng kumpanya, iwasan ang pag-click sa mga link sa mga di hiniling na email, at huwag kailanman ibahagi ang kanilang wallet recovery seed phrase sa sinuman.