Фишинг Trezor показывает, что злоумышленники могут обойти устройство и атаковать слой человеческого доверия

Trezor предупредил пользователей в среду, 9 сентября 2026 года, о хакерах, использующих своего стороннего провайдера электронной почты для распространения ложного уведомления о безопасности. Однако кошелек Trezor не пострадал от атаки. Преступники нацелились на что-то, что еще труднее защитить, чем программное обеспечение: на уверенность пользователя в письме от доверенного провайдера.

Тема предупреждения звучала следующим образом: «Критическое уведомление о безопасности: уязвимость энтропии STM32». В сообщении говорилось, что инженеры Trezor обнаружили дефект конструкции в чипах STM32, используемых в их продуктах. Decrypt сообщил, что Trezor признал сообщение поддельным и предупредил читателей не переходить по ссылкам.

Поддельный дефект, отправленный с реального адреса

Эффективность кампании заключалась не в сфабрикованной уязвимости, а в способе получения письма. Один из получателей сообщил, что письмо пришло с адреса [email protected], прошло путь кампании Sendinblue и успешно прошло проверки DKIM, SPF и DMARC.

В оповещении указывалось, что одно из четырех устройств может быть скомпрометировано, и что фразы восстановления могут не иметь достаточной случайности или энтропии. Этот язык был очень похож на проблемы, описанные в недавней атаке на Coldcard.

Trezor сообщил, что он заблокировал домен, используемый для отправки оповещений, и начал расследование того, как мошенникам удалось использовать его легитимную инфраструктуру отправки. Публичное оповещение компании вышло сразу после 16:30 по восточному времени 9 сентября, всего через несколько часов после того, как пользователи начали поднимать тревогу по поводу писем.

Утечка может выйти за пределы Trezor

По словам Ника Ньюмана, соучредителя и генерального директора Casa, похоже, что среди пользователей BitBox наблюдается аналогичная тенденция, и что мог быть взломан общий провайдер маркетинговых писем.

Это более крупная проблема. Производители кошельков могут сделать свои устройства более безопасными, но их бренд все еще может быть украден средствами, которыми они не полностью управляют, от провайдеров почтовых услуг до логистических компаний и платежных процессоров.

Утечки данных — это не эксплойты устройств

В предыдущем отчете Cryptopolitan было раскрыто, что фишинговые атаки на пользователей Ledger также проникли в физическую почту. Однако следует отметить, что эти случаи отличаются от эксплойтов устройств, поскольку утечка данных компрометирует личность и контактную информацию, в то время как эксплойт устройства может также поставить под угрозу финансовые активы.

Атаки на аппаратные кошельки, произошедшие в 2026 году, проясняют это различие. SafePal признал, что в одном из его плагинов отслеживания заказов была ошибка авторизации, которая привела к утечке данных примерно 39 798 клиентов, и что seed-фразы, приватные ключи и учетные данные кошельков этих клиентов не были скомпрометированы.

Утечка ShipMonk в Trezor в конечном итоге увеличила количество затронутых клиентов до 80 689 после того, как компания узнала, что старые записи об заказах в США, датированные периодом с 2019 по 2021 год, также хранились и были раскрыты. Аналогичным образом, в январе инцидент Global-e с Ledger также привел к утечке деталей заказов и контактной информации клиентов, точное количество которых не было раскрыто.

В своем августовском сравнении Memeburn правильно классифицировал Ledger, Trezor и SafePal как «утечки данных», в то время как Coldcard был определен как «эксплойт устройства». Однако указанная Memeburn цифра 13 689, упомянутая в отношении Trezor, относится к периоду до обновления Trezor 4 сентября.

Coldcard выделяется из остальных. Согласно отчету Galaxy Research от 14 августа, было подтверждено 190 жертв напрямую, а также более 86 000 затронутых адресов и похищенных 1 778,84 BTC на сумму не менее 112,7 млн долларов из-за уязвимостей в прошивке. Другие оценки оценивали возможные потери примерно в 130 млн долларов.

Утечка контекста питает индустриализированный фишинг

Опасность утечки списка доставки заключается в том, что происходит дальше. Chainalysis оценил, что крипто-мошенничество и мошенничество похитили 17 млрд долларов в 2025 году, в то время как мошенничество с имперсонализацией выросло более чем на 1400% в годовом исчислении. Он также обнаружил, что мошенничество со ссылками в блокчейне на поставщиков ИИ генерировало в 4,5 раза больше выручки на операцию, чем то, у которого таких ссылок не было.

Запись о покупке аппаратного кошелька поэтому может стать файлом для таргетинга. Имя в паре с адресом электронной почты, номером телефона, домашним адресом и подтверждением того, что у кого-то есть устройство крипто-безопасности, дает преступникам контекст для создания убедительных писем, звонков, писем или даже физических контактов.

Урок из последнего инцидента с Trezor заключается не в том, что аппаратные кошельки не справились. Он в том, что периметр безопасности теперь включает системы вокруг них, и злоумышленникам все чаще нужно только одно сообщение, выглядящее доверенным, чтобы пробиться.