Les fabricants de wallets matériels affirment que les attaquants ont utilisé une infrastructure e-mail compromise pour envoyer des messages d'hameçonnage aux détenteurs de crypto-monnaies.
Trezor et BitBox, deux fabricants réputés de wallets matériels pour cryptomonnaies, ont émis des avertissements à leurs clients concernant des alertes de sécurité falsifiées. Les entreprises affirment que ces messages sont conçus pour ressembler à des communications légitimes provenant des fabricants eux-mêmes.
Trezor a confirmé que des pirates ont accédé à son fournisseur de services e-mail. Cette violation a permis aux attaquants d'envoyer des emails de phishing via une infrastructure liée au nom de l'entreprise, selon l'entreprise. La portée exacte de l'intrusion, y compris le nombre d'adresses e-mail client exposées, n'a pas été précisée.
BitBox a émis une alerte similaire à peu près au même moment, avertissant sa propre base d'utilisateurs concernant des avis de sécurité frauduleux. Il n'est toujours pas clair si les deux incidents sont directement liés ou représentent des campagnes de phishing distinctes ciblant plus largement les utilisateurs de wallets matériels.
Les attaques d’hameçonnage contre les clients de wallets matériels visent généralement à tromper les utilisateurs pour qu’ils saisissent leur phrase secrète de récupération sur un site web ou une interface d’appareil falsifiés. Les wallets matériels sont conçus pour garder les clés privées hors ligne, à l’écart des appareils connectés à Internet. Ce modèle de sécurité ne tient que si les utilisateurs évitent de partager leur phrase secrète, une chaîne de mots permettant de restaurer entièrement l’accès à un wallet, avec qui que ce soit ou sur aucun site web.
Les attaquants qui compromettent un fournisseur de messagerie utilisé par une marque de confiance peuvent envoyer des messages qui semblent provenir d’un canal de support officiel. Cela rend les alertes frauduleuses plus difficiles à identifier comme fausses pour les destinataires. Trezor et BitBox ont tous deux exhorté leurs clients à traiter avec prudence les avertissements de sécurité non sollicités et à vérifier toute communication via les canaux officiels avant d’agir.
Aucune des entreprises n'a déclaré que les fonds des clients ou les appareils avaient été directement compromis à la suite de la violation par courriel. Les avertissements portent sur les courriels de phishing eux-mêmes, et non sur une perte d'actifs confirmée. Les utilisateurs des deux wallets ont été invités à vérifier soigneusement les adresses des expéditeurs et à éviter de cliquer sur les liens contenus dans les notifications de sécurité inattendues.
Impact sur le marché
Les campagnes d’hameçonnage ciblant les utilisateurs de wallets matériels soulèvent des préoccupations plus larges concernant les risques de sécurité liés à la chaîne d’approvisionnement et aux fournisseurs dans le secteur de la garde des cryptomonnaies. Même lorsqu’une violation se limite à l’infrastructure e-mail plutôt qu’au firmware du wallet ou aux clés privées, des incidents comme celui-ci peuvent ébranler la confiance des utilisateurs dans les canaux de communication que les entreprises utilisent pour contacter leurs clients.
Pour le marché plus large des portefeuilles matériels, de tels incidents incitent généralement à renforcer l'éducation des utilisateurs sur la sécurité des phrases secrètes et la reconnaissance des tentatives d'hameçonnage. Ils ne indiquent pas, selon ce qui a été rapporté, une faille dans le modèle de sécurité matériel sous-jacent qui garde les clés privées hors ligne.
Les avertissements de Trezor et de BitBox soulignent que le phishing par e-mail reste une menace persistante, même pour les fournisseurs de wallets matériels axés sur la sécurité. Les utilisateurs sont invités à vérifier les communications via les canaux officiels de l'entreprise et à ne jamais partager leurs phrases de récupération en réponse à des alertes non sollicitées.
Questions fréquemment posées
Qu'est-ce qui s'est passé avec le fournisseur d'e-mails de Trezor ?
Trezor a déclaré que des pirates ont compromis son fournisseur de services e-mail, qu'ils ont ensuite utilisé pour envoyer des messages d'hameçonnage aux utilisateurs de crypto-monnaies.
Les fonds des clients ou les portefeuilles matériels ont-ils été compromis ?
Ni Trezor ni BitBox n'ont signalé de perte de fonds confirmée. Les avertissements concernent des alertes par e-mail frauduleuses, et non une violation du matériel du wallet ou des clés privées.
Pourquoi BitBox a-t-il également émis une alerte ?
BitBox a averti ses utilisateurs concernant des alertes de sécurité falsifiées similaires, bien qu'il ne soit pas clair si son incident est directement lié à la violation des e-mails de Trezor.
Comment les utilisateurs peuvent-ils se protéger contre ces tentatives d’hameçonnage ?
Les utilisateurs doivent vérifier toute alerte de sécurité via les canaux officiels de l'entreprise, éviter de cliquer sur les liens dans les e-mails non sollicités, et ne jamais partager leur phrase secrète de récupération de wallet avec qui que ce soit.