Виробники апаратних гаманців кажуть, що нападники використали скомпрометовану інфраструктуру електронної пошти для надсилання фішингових повідомлень власникам криптовалют.
Trezor і BitBox, два відомих виробники апаратних гаманців для криптовалют, видали попередження клієнтам щодо фальшивих попереджень безпеки. Компанії стверджують, що ці повідомлення створені так, щоб виглядати як легітимні повідомлення від самих виробників.
Trezor підтвердив, що хакери отримали доступ до своєї служби електронної пошти. Це порушення дозволило нападникам надсилати фішингові листи через інфраструктуру, пов’язану з ім’ям компанії, за словами фірми. Точний масштаб вторгнення, включаючи кількість адрес електронної пошти клієнтів, які були виставлені на ризик, не був деталізований.
BitBox випустила подібне попередження приблизно в той самий час, попередивши своїх користувачів про шахрайські повідомлення про безпеку. Залишається невідомим, чи пов’язані ці два інциденти безпосередньо чи це окремі фішингові кампанії, спрямовані на користувачів апаратних гаманців у ширшому сенсі.
Фішингові атаки на клієнтів апаратних гаманців зазвичай намагаються ввести користувачів в оману, змусивши їх ввести свою seed-фразу на фальшивому веб-сайті чи інтерфейсі пристрою. Апаратні гаманці розроблені таким чином, щоб зберігати приватні ключі офлайн, поза межами пристроїв, підключених до інтернету. Ця модель безпеки діє лише тоді, коли користувачі уникатимуть надання своєї seed-фрази — рядка слів, який повністю відновлює доступ до гаманця — будь-кому чи будь-якому веб-сайту.
Зловмисники, які компрометують постачальника електронної пошти, яким користується відомий бренд, можуть надсилати повідомлення, які виглядають як із офіційного каналу підтримки. Це робить шахрайські сповіщення важче виявити як фальшиві. Trezor і BitBox закликали клієнтів ставитися з обережністю до незапитаних попереджень безпеки та перевіряти будь-яке повідомлення через офіційні канали перед виконанням дій.
Жодна з компаній не повідомила, що кошти клієнтів або пристрої були безпосередньо скомпрометовані внаслідок порушення електронної пошти. Попередження стосуються саме фішингових листів, а не підтвердженої втрати активів. Користувачам обох гаманців рекомендовано двічі перевіряти адреси відправників і уникати кліків за посиланнями у неочікуваних повідомленнях про безпеку.
Вплив на ринок
Фішингові кампанії, спрямовані на користувачів апаратних гаманців, викликають більш загальні занепокоєння щодо ризиків безпеки ланцюга поставок і з боку виробників у секторі криптовалютного зберігання. Навіть якщо порушення обмежується лише інфраструктурою електронної пошти, а не прошивкою гаманця чи приватними ключами, такі інциденти можуть підірвати довіру користувачів до каналів зв’язку, на які компанії покладаються для звернення до клієнтів.
Щодо ширшого ринку апаратних гаманців, такі інциденти зазвичай призводять до підсилення уваги до освіти користувачів щодо безпеки seed-фрази та виявлення фішингу. Вони, за тим, що було повідомлено, не вказують на недолік у базовій апаратній моделі безпеки, яка зберігає приватні ключі офлайн.
Попередження Trezor і BitBox підкреслюють, що фішинг через електронну пошту залишається постійною загрозою навіть для провайдерів апаратних гаманців, орієнтованих на безпеку. Користувачам рекомендується перевіряти повідомлення через офіційні канали компанії і ніколи не розголошувати відновлювальні фрази у відповідь на незапитані сповіщення.
Часто задавані запитання
Що сталося з постачальником електронної пошти Trezor?
Trezor повідомив, що хакери проникли до постачальника електронної пошти, яким зловмисники скористалися для надсилання фішингових повідомлень користувачам криптовалют.
Чи були пошкоджені кошти клієнтів або апаратні гаманці?
Ні Trezor, ні BitBox не повідомляли про підтверджену втрату коштів. Попередження стосуються шахрайських електронних листів, а не порушення апаратного забезпечення гаманця або приватних ключів.
Чому BitBox також видала попередження?
BitBox попередила своїх користувачів про подібні фальшиві сповіщення про безпеку, хоча невідомо, чи пов’язаний її випадок безпосередньо з порушенням безпеки електронної пошти Trezor.
Як користувачі можуть захистити себе від цих фішингових спроб?
Користувачі повинні перевіряти будь-які попередження безпеки через офіційні канали компанії, уникати кліків за посиланнями у незапитаних листах і ніколи не розголошувати свою seed-фразу для відновлення гаманця.