Trezor 网络钓鱼显示攻击者可以绕过设备并针对人类信任层

Trezor 警告用户 在 2026 年 9 月 9 日星期三，关于黑客利用其第三方电子邮件提供商分发虚假安全通知。然而，Trezor 钱包未受攻击影响。犯罪分子瞄准的比软件更难保护的东西是：用户对来自可信提供商的电子邮件的信心。

警告邮件的主题行如下：“严重安全警报：STM32 熵漏洞。”该消息指出，Trezor 工程师在其产品使用的 STM32 芯片中发现了一个设计缺陷。Decrypt 报道称，Trezor 确认该消息为伪造，并警告读者不要点击链接。

来自真实地址的虚假缺陷

使该活动有效的并非伪造的漏洞，而是接收电子邮件的方式。一位收件人透露，该电子邮件来自 [email protected]，遵循 Sendinblue 活动路径，并通过了 DKIM、SPF 和 DMARC 检查。

警报指定四分之一的设备可能会受到损害，并且恢复短语可能没有足够的随机性或熵。这种语言与最近 Coldcard 攻击中描述的问题非常相似。

Trezor 报告称，它停止了用于发送警报的域名，并开始调查欺诈者如何利用其合法的发送基础设施。公司的公开警报于 9 月 9 日东部时间下午 4:30 后发布，仅在其用户开始对电子邮件提出质疑后几小时。

泄露可能波及 Trezor 之外

据 Casa 联合创始人兼首席执行官 Nick Neuman 称，BitBox 用户中似乎出现了类似趋势，并且可能入侵了常见的营销电子邮件提供商。

这是更大的问题。钱包制造商可以使他们的设备更安全，但他们的品牌仍可能通过他们不完全控制的手段被盗，从电子邮件服务提供商到运输公司和支付处理器。

数据泄露不是设备漏洞

在 Cryptopolitan 之前的报道中，揭露针对 Ledger 用户的网络钓鱼尝试也已进入实体邮件。然而，需要注意的是，这些情况与设备漏洞不同，因为数据泄露会危及身份和联系信息，而设备漏洞还可能使金融资产面临风险。

2026 年发生的硬件钱包攻击使这一区别变得清晰。SafePal 承认其一个订单跟踪插件中存在授权错误，导致约 39,798 名客户的数据泄露，但这些客户的助记词、私钥和钱包凭证并未受到损害。

Trezor 的 ShipMonk 泄露事件最终将受影响客户数量增加至 80,689 人，因为公司了解到 2019 年至 2021 年的旧美国订单记录也被存储并泄露。同样，在 1 月，Ledger 的 Global-e 事件也导致其客户的订单详情和联系信息泄露，具体客户数量未披露。

在其 8 月的比较中，Memeburn 正确地将 Ledger、Trezor 和 SafePal 归类为“数据泄露”，同时将 Coldcard 识别为“设备漏洞”。然而，Memeburn 引用的 Trezor 的 13,689 这一数字是在 9 月 4 日 Trezor 更新之前。

Coldcard 与众不同。根据 Galaxy Research 8 月 14 日的报告，它确认了 190 名直接受害者，以及超过 86,000 个受影响地址和至少 1,778.84 BTC（价值 1.127 亿美元）被盗，原因是固件存在缺陷。其他估计将可能的损失接近 1.3 亿美元。

泄露的上下文助长了工业化网络钓鱼

泄露的发货列表的危险在于接下来会发生什么。Chainalysis 估计，2025 年加密货币诈骗和欺诈窃取了 170 亿美元，而冒充诈骗同比增长超过 1,400%。它还发现，与 AI 供应商有链上联系的诈骗每笔操作产生的收入是没有此类联系的诈骗的 4.5 倍。

因此，硬件钱包购买记录可以成为目标文件。姓名与电子邮件、电话号码、家庭地址以及确认某人拥有加密货币安全设备配对，为犯罪分子提供了背景，以制作令人信服的电子邮件、电话、信件甚至实地接触。

Trezor 最新事件的教训不是硬件钱包失败了。而是安全范围现在包括其周围的系统，攻击者只需要一条看似可信的消息就能突破。