Donanımsal cüzdan üreticileri, saldırganların, kripto sahiplerine phishing mesajları göndermek için ele geçirilmiş e-posta altyapısını kullandığını söylüyor.
Trezor ve BitBox, kripto para donanımsal cüzdanları üreten iki ünlü maker, müşterilerine sahte güvenlik uyarıları hakkında uyarıda bulundu. Şirketler, mesajların üreticilerin kendilerinden gelen legítim iletişimler gibi görünmesi için tasarlandığını söyledi.
Trezor, saldırganların şirketin adı ile ilişkili altyapı üzerinden fishing e-postaları göndermelerine izin veren bir e-posta hizmet sağlayıcısına erişim kazandığını doğruladı. İnhisarın tam kapsamları, dahil olmak üzere kaç müşteri e-posta adresinin açığa çıktığı ayrıntılı olarak belirtilmedi.
BitBox, aynı dönemde benzer bir uyarı yayınladı ve kendi kullanıcılarına sahtekar güvenlik bildirimleri konusunda uyarıda bulundu. İki olayın doğrudan ilişkili olup olmadığı ya da donanımsal cüzdan kullanıcılarına yönelik ayrı ayrı phishing kampanyaları mı temsil ettiği hâlâ belirsiz.
Donanım cüzdan kullanıcılarına yönelik phising saldırıları, genellikle kullanıcıları sahte bir web sitesi veya cihaz arayüzünde kurtarma anahtar cümlesini girmeye ikna etmeye çalışır. Donanım cüzdanlar, özel anahtarları internete bağlı cihazlardan uzak tutmak üzere tasarlanmıştır. Bu güvenlik modeli, kullanıcıların anahtar cümlesini—bir cüzdana tam erişimi yeniden kazandıracak bir kelime dizisini—kimseyle veya herhangi bir web sitesiyle paylaşmazsa geçerlidir.
Güvenilir bir marka tarafından kullanılan bir e-posta sağlayıcısını ele geçiren saldırganlar, resmi bir destek kanalından geldiğini gösteren mesajlar gönderebilir. Bu, dolandırıcılık uyarılarının alıcılar tarafından sahte olduğunu tespit etmesini zorlaştırır. Trezor ve BitBox, müşterilerine, istenmeyen güvenlik uyarılarını dikkatle değerlendirmelerini ve herhangi bir iletişimi eylemde bulunmadan önce resmi kanallar aracılığıyla doğrulamalarını önerdi.
Hiçbir şirket, e-posta ihlali sonucu müşteri fonlarının veya cihazların doğrudan ele geçirildiğini söylemedi. Uyarılar, doğrulanmış bir varlık kaybından ziyade filiz e-postalarına odaklanıyor. Her iki cüzdanın kullanıcılarına, gönderen adreslerini tekrar kontrol etmeleri ve beklenmeyen güvenlik bildirimlerindeki bağlantıları tıklamamaları önerildi.
Piyasa Etkisi
Donanım cüzdan kullanıcılarını hedef alan fispaj kampanyaları, kripto saklama sektöründe tedarik zinciri ve satıcı tarafı güvenlik riskleriyle ilgili daha geniş endişeleri artırıyor. Bir ihlalin e-posta altyapısına sınırlı kalması bile, cüzdan firması yazılımı veya özel anahtarlarla ilgili olmasa bile, şirketlerin müşterilere ulaşmak için kullandığı iletişim kanallarına olan kullanıcı güvenini sarsabilir.
Daha geniş donanımsal cüzdan pazarında, bu tür olaylar genellikle anahtar cümle güvenliği ve phishing algılama konusunda kullanıcı eğitimi üzerinde yeniden vurgu yapmaya neden olur. Raporlananlara göre, özel anahtarların çevrimdışı tutulmasını sağlayan temel donanımsal güvenlik modelinde bir hata olduğunu göstermez.
Trezor ve BitBox'un uyarıları, e-posta temelli phishinğin güvenlik odaklı donanımsal cüzdan sağlayıcıları için bile devam eden bir tehdit olduğunu vurgulamaktadır. Kullanıcılar, iletişimleri resmi şirket kanalları aracılığıyla doğrulamaya ve istenmeyen uyarılar karşısında kurtarma ifadelerini asla paylaşmamaya davet edilmiştir.
Sıkça Sorulan Sorular
Trezor'un e-posta sağlayıcısıyla ne oldu?
Trezor, saldırganların kripto kullanıcılarına phishing mesajları göndermek için kullandığı e-posta hizmet sağlayıcısını ihlal ettiğini söyledi.
Müşteri fonları veya donanım cüzdanları compromite edildi mi?
Trezor ve BitBox, fon kaybının doğrulanmış bir durumunu raporlamadı. Uyarılar, cüzdan donanımının veya özel anahtarların ihlaliyle ilgili değil, dolandırıcılık içeren e-posta uyarıları ile ilgilidir.
BitBox neden bir uyarı da yayınladı?
BitBox, benzer sahte güvenlik uyarıları hakkında kullanıcılarını uyardı, ancak olayın Trezor e-posta ihlaliyle doğrudan ilişkili olup olmadığı belirsiz.
Kullanıcılar bu phising girişimlerinden nasıl korunabilir?
Kullanıcılar, herhangi bir güvenlik uyarısını resmi şirket kanalları aracılığıyla doğrulamalı, istenmeyen e-postalardaki bağlantıları tıklamamalı ve cüzdan kurtarma anahtar cümlesini kimseyle paylaşmamalıdır.