不明な人物が、ウォレット所有者に「Critical Security Alert: STM32 Entropy Vulnerability」という件名のメールを送信し、セキュリティ上の重大な警告を装いました。メールでは、Trezorのエンジニアが同社デバイスで使用されているSTM32マイコンに深刻な脆弱性を発見したと主張されています。この欠陥は、4台に1台のデバイスに影響を与え、シードフレーズの生成時に多数の予測可能なパターンが発生するエントロピーの問題を引き起こす可能性があると記されています。その結果、悪意のある第三者が秘密のフレーズをより早く推測できるようになる可能性があります。
Trezorは、これらのメールを送信していないと述べ、これは意図的なフィッシング攻撃であるとし、ユーザーに怪しいリンクをクリックしないよう呼びかけました。Trezorのセキュリティ専門家は、攻撃に使用されたドメインを無効化し、ハッカーが同社の公式アドレスにどのようにアクセスしたのかを調査中です。
第三者のメールプロバイダーが侵害されました。メール「Critical Security Alert: STM32 Entropy Vulnerability」は当社から送信されたものではなく、フィッシング試みです。どのリンクもクリックしないでください。当該ドメインは削除済みであり、ハッカーが当社の正当なドメインにアクセスした経路を含め、現在状況を調査中です。
— Trezor (@Trezor) September 9, 2026Casaの共同設立者兼CEOであるニック・ノイマン（Nick Neuman）は、フィッシングキャンペーンがTrezorだけでなく、Bitboxのハードウェアウォレットユーザーにも影響を与えている可能性があると推測した。彼は、ハッカーがTrezorとBitBoxの両方が利用するメール配信サービスをハッキングした可能性があると考えている。
現在、ハードウェアウォレット企業（TrezorやBitboxなど少なくとも2社を確認）から信頼できるふりしたフィッシングメールが送信されています。これはマーケティングメールプロバイダーが侵害された可能性を示唆しており、さらに多くの顧客メールが漏洩する可能性があります。怪しいリンクを通じて行動を促すメールには注意し、信頼しないでください。（この画像のメールがフィッシングメールであり、実際の脆弱性について混乱しないように注意してください）
— ニック・ノイマン (@Nneuman) September 9, 2026ハードウェアウォレットColdcardの脆弱性に関する情報が公開された後、フィッシング攻撃の波が発生しました。夏には、ハッカーが2021年のファームウェアの不具合を悪用し、このウォレットのユーザーから1億3,000万ドル以上のビットコインを盗み取りました。この脆弱性により、シードフレーズの生成時のランダム性が128ビットから40ビットに急激に低下しました。
昨年、Trezorウォレットのユーザーは、量子攻撃に関するフィッシングメールを受け取り、悪意のある人物は、将来的な脆弱性からのウォレット保護を強化するためのパッチをダウンロードするよう勧めました。