- Trezor によると、ハッカーは第三者のメールプロバイダーを乗っ取り偽のセキュリティアラートを送信しましたが、同社のウォレットやデバイスは影響を受けませんでした。
- フィッシングメールは正当な Trezor のインフラ経由で送信されたように見せかけ、STM32 に脆弱性がありユーザーのリカバリーフレーズが弱体化する可能性があるという虚偽の主張を含んでいました。
- この攻撃は、顧客データの漏洩やサービスプロバイダーの侵害が、ハードウェアウォレット自体が安全であっても説得力のあるフィッシングを可能にするリスクを浮き彫りにしています。
Trezorがユーザーに警告 2026年9月9日水曜日、第三者のメールプロバイダーを利用して偽のセキュリティ通知を配布したハッカーについて警告しました。しかし、Trezorウォレットは攻撃の影響を受けませんでした。犯罪者は、ソフトウェアよりも守るのがはるかに難しいもの、つまり信頼できるプロバイダーからのメールに対するユーザーの信頼を標的にしました。
警告の件名は次のように読みました。「重要セキュリティアラート：STM32エントロピー脆弱性」。メッセージは、Trezorのエンジニアがその製品で使用されているSTM32チップの設計欠陥を発見したと述べていました。Decryptは、Trezorがメッセージを偽物と認識し、読者にリンクをクリックしないよう警告したと報じています。
本物のアドレスから送信された偽の欠陥
キャンペーンが効果的だったのは、捏造された脆弱性そのものではなく、メールが受信された方法でした。ある受信者は、メールが[email protected]から届き、Sendinblueのキャンペーンパスに従い、DKIM、SPF、DMARCチェックを通過したことを明らかにしました。
アラートでは、4台に1台のデバイスが侵害される可能性があり、回復フレーズに十分なランダム性やエントロピーがない可能性があることが指定されました。この言語は、最近のColdcard攻撃で説明された問題と非常に似ていました。
Trezorは、アラート送信に使用されたドメインを停止し、詐欺師がどのようにして正規の送信インフラストラクチャを使用したのかを調査し始めたと報告しました。企業の公開アラートは、9月9日の東部時間午後4時30分直後、ユーザーがメールについて懸念を表明し始めてから数時間後に発表されました。
侵害はTrezorを超えて及ぶ可能性がある
Casaの共同創設者兼CEOであるNick Neumanによると、BitBoxのユーザーの間でも同様の傾向が発生しているようで、一般的なマーケティングメールプロバイダーが侵害された可能性があります。
それがより大きな問題です。ウォレットメーカーはデバイスをより安全にできますが、ブランドは、メールサービスプロバイダーから配送会社、決済プロセッサーまで、完全に管理できない手段によって盗まれる可能性があります。
データ侵害はデバイスエクスプロイトではない
Cryptopolitanによる以前のレポートでは、Ledgerユーザーに対するフィッシング試みが物理的な郵便にも入り込んでいることが明らかにされました。ただし、これらのケースはデバイスエクスプロイトとは異なることに注意が必要です。データ侵害は身元と連絡先情報を侵害しますが、デバイスエクスプロイトは金融資産も危険にさらす可能性があります。
2026年に発生したハードウェアウォレットへの攻撃は、この区別を明確にしています。SafePalは、注文追跡プラグインの1つに認証エラーがあり、約39,798人の顧客のデータが露出したと認めましたが、これらの顧客のシードフレーズ、秘密鍵、ウォレット認証情報は侵害されなかったと述べました。
TrezorのShipMonk侵害は、2019年から2021年にかけての古い米国の注文記録も保存され、露出していたことが判明した後、影響を受けた顧客数が80,689人に増加しました。同様に、1月にはLedgerのGlobal-e事件でも顧客の注文詳細と連絡先情報が露出し、顧客の正確な数は開示されませんでした。
8月の比較において、Memeburnは正しくLedger、Trezor、SafePalを「データ侵害」に分類し、Coldcardを「デバイスエクスプロイト」として特定しました。ただし、MemeburnがTrezorに関連して言及した13,689という数字は、9月4日のTrezorのアップデート前のものです。
Coldcardは他とは一線を画しています。Galaxy Researchは8月14日、190人の被害者を直接確認しただけでなく、86,000以上の影響を受けたアドレスと、少なくとも1,778.84 BTC（価値1億1,270万ドル）がファームウェアの欠陥により盗まれたことを確認しました。他の推計では、潜在的な損失は約1億3,000万ドルに近いとされています。
漏洩したコンテキストが産業化されたフィッシングを促進する
漏洩した配送リストの危険性は、その後の展開にあります。Chainalysisは推計、暗号資産スキャンダルと詐欺は2025年に170億ドルを盗み、なりすましスキャンダルは前年比1,400%以上増加したと報告しています。また、オンチェーンリンクがAIベンダーに結びついたスキャンダルは、そのようなリンクがないものよりも1回あたりの収益が4.5倍多いことも発見しました。
ハードウェアウォレットの購入記録は、標的ファイルになる可能性があります。名前、メールアドレス、電話番号、自宅の住所、そして誰かが暗号セキュリティデバイスを持っているという確認が組み合わさることで、犯罪者は説得力のあるメール、電話、手紙、さらには物理的な接触を構築するためのコンテキストを得ます。
Trezorの最新の事件から得られる教訓は、ハードウェアウォレットが失敗したということではありません。それは、セキュリティの境界線がそれを取り巻くシステムを含み、攻撃者が突破するために信頼できるメッセージが1つあれば十分になりつつあるということです。
暗号通貨のニュースを読むだけでなく、それを理解しましょう。ニュースレターに登録してください。無料です。
よくある質問
Trezor のハードウェアまたはリカバリーフレーズは実際に侵害されたのでしょうか？
いいえ。Trezor によると、このメールは侵害された第三者のメールプロバイダーを経由して送信されたフィッシング試みであり、主張されていた STM32 のハードウェア脆弱性は捏造でした。デバイスのセキュリティには影響がありませんでした。
なぜ偽のメールはスパムフィルターを突破できたのですか？
Decrypt が引用したユーザー報告によると、メッセージは [email protected] から送信されたように表示され、DKIM、SPF、DMARC の認証チェックを通過しました。これは、攻撃者が外部からなりすましたのではなく、Trezor の正当なメール送信経路を通じて送信したためです。
このフィッシングキャンペーンは Trezor ユーザーのみを対象としたものだったのでしょうか？
CasaのCEOニック・ニューマン氏はXで、BitBoxユーザーも同様のメールを受信しており、共通のマーケティングメールプロバイダーが侵害された可能性があり、このキャンペーンはTrezorのみを対象としたものではないと示唆しました。
免責事項。 本情報は取引助言ではありません。Cryptopolitan.com は、本ページに記載された情報に基づいて行われた投資に対して一切の責任を負いません。投資判断を下す前に、独自の調査を行うか、資格を有する専門家にご相談することを強く推奨します。
Micah Abiodun
マイカ・アビオドゥンは、タリン工科大学（TalTech）で取得した環境工学および管理（MSc）の知識を活かし、Cryptopolitan でコンテンツの質を高め、価格予測ニュースを提供しています。暗号通貨メディア業界で7年目を迎える彼は、主要な暗号資産、アルトコイン、DeFi、ステーブルコイン、マクロトレンド、そして新興技術について幅広く取り上げています。
