Trezor确认邮件服务商数据泄露后 数十万加密货币用户遭诈骗

硬件加密货币钱包制造商Trezor在两个月内第二次警告客户，其依赖的一家公司遭遇黑客攻击，导致客户数据面临泄露风险。该公司本周在一篇博客文章中称，其用于发送新闻通讯的营销科技公司Brevo遭遇网络攻击，黑客借此向约347,000名Trezor客户发送了带有恶意链接的钓鱼邮件，声称来自该钱包制造商。点击链接后会下载一个应用程序，要求受害者提供钱包备份密码，其中一个邮件主题为“严重安全警报：STM32熵漏洞”。Trezor指出，钱包密码被盗可能导致黑客在公共区块链上不可逆地窃取用户资金。Brevo在事件状态公告中表示，黑客利用了一个权限“未正确限定”的漏洞，访问了138个Brevo账户以发送大量钓鱼信息，其访问权限被“错误地授予”了该黑客账户可触及的所有组织。此次泄露凸显了一种常见的安全事件，即黑客入侵第三方公司持有的数据，这些第三方公司是完成客户订单或购买所必需的。Trezor称其产品、钱包或账户系统均未受此事件影响。这是近几周内影响Trezor的第二次数据泄露，该公司曾在8月提醒客户，其物流合作伙伴ShipMonk遭遇数据泄露，导致至少81,000名购买并收到Trezor硬件钱包的用户的姓名、电话号码、电子邮件地址和邮政地址被泄露。数据泄露可能使加密货币所有者和其他富裕个人面临针对性暴力和所谓“扳手攻击”的风险，此类攻击通过物理攻击获取密码。在ShipMonk泄露事件后的几周内，一些人收到了声称来自Trezor的信件，内含二维码，扫描后会打开一个虚假页面，试图窃取受害者的加密货币钱包密码。Trezor表示正在重新评估与供应商的关系，并警告客户其电子邮件地址可能再次被用于未来的钓鱼攻击。