TrezorのBitcoin(BTC)ウォレットユーザー、ドメイン侵害によるフィッシング被害

Trezor自身のドメインから送られたフィッシング

ハードウェアウォレット大手のTrezorは9月9日、同社が利用する第三者メールプロバイダーが侵害され、攻撃者がTrezorの正規ドメインから送信されたように見えるフィッシングメールを送れたことを確認した。偽メールの件名は「Critical Security Alert: STM32 Entropy Vulnerability」で、新しいTrezorデバイスに搭載されたSTM32マイクロコントローラに重大な乱数生成の欠陥があると購読者に警告する内容だった。受信者を「緊急のセキュリティチェック」の実行へと誘導し、攻撃者が管理するページにウォレットのバックアップフレーズを入力させる構図だ。TrezorはXに投稿した公式声明で、この警告は同社からのものではないと明言し、いかなるリンクもクリックしないよう呼びかけた。その上で、影響を受けたドメインはすでに停止済みであり、攻撃者がどう送信権限を取得したかの調査が続いていると説明した。9月10日時点で、同社は受信者数、メールベンダーの氏名、確認済みのユーザー被害はいずれも公表していない。

Xに投稿したhttps://x.com/Trezor/status/2097786518110609620?s=20

同一キャンペーンがBitBoxとCoinTrackingにも

波及範囲はTrezorにとどまらない。同じ侵害されたメールプラットフォームはBitBox、CoinTracking、Peach Bitcoin、Blocktrainerにもサービスを提供しており、4社すべてが独自の顧客に警告を発した。拡散したスクリーンショットによれば、このキャンペーンはブランドごとにカスタマイズされていた。CoinTrackingの受信者には捏造された情報漏洩通知が届き、BitBoxのユーザーにはマイクロコントローラのエントロピー不具合が告げられた。本件が技術的に深刻なのは、メールが類似ドメインによる偽装ではなかった点だ。Trezorの公式フォーラムに完全なメールヘッダーを公開したユーザーの記録では、メールはmailing.trezor.io経由でルーティングされ、複数人がSPF、DKIM、DMARCの認証チェックを通過していたと報告している。独立系の分析では、悪意あるリンクが当初Trezor自身のメールトラッキング用サブドメインを経由してリダイレクトされていたことも判明しており、慎重な受信者がリンクにカーソルを合わせても信頼できるインフラに見えたという。セキュリティ研究者は影響を受けたプラットフォームとしてBrevoを指摘しているが、Trezorはベンダーを公式には名指ししておらず、この特定は未確認のままだ。

拡散したスクリーンショットhttps://x.com/Trezor/status/2097948765357236502?s=20

ShipMonk侵害では8万人超の顧客情報が流出

今回のメール侵害は、別のサプライヤー事故のわずか数週間後に発生した。8月13日、Trezorは配送パートナーのShipMonkが侵害され、当初11,742人の顧客の完全な連絡先情報——氏名、メールアドレス、電話番号、配送先住所——が流出したと開示した。5月から8月に注文された案件に紐づくもので、さらに1,947人が部分的に影響を受けた。今月初め、同社は開示範囲を拡大した。ShipMonkが90日以内削除を義務付ける契約ポリシーに違反して古い注文データを保持し続けており、2019年11月に遡る注文を持つ米国の顧客約67,000人が被害対象に加わったのだ。統合された流出規模は8万人を超えるが、Trezorは統一した数字を公表していない。同社は当時、漏洩データがまさに今回展開しているような標的型フィッシング、電話詐欺、物理的なソーシャルエンジニアリング攻撃の燃料になりうると警告していた。ShipMonkの漏洩とメール侵害を結ぶ公的な証拠はなく、送信リストが過去に漏洩した記録から来たものかも未確認だ。なお、Trezorのサポートチケットポータルも2024年1月に侵害され、約66,000人のユーザーがフィッシングの危険に晒されていた。 市場をリアルタイムで追いたい読者は、Bybitで現物・先物価格をライブで確認できる。

コールドストレージでもサプライチェーンリスクは消えない

COINOTAG編集部による一連の事案の読み解きでは、これは一つのテーマ的流れだ。攻撃者はハードウェアそのものを破解しようとしているのではなく、その周辺すべてを攻撃している。MEVの抽出、オムニチェーンブリッジの悪用、暗号資産ミキサーによる資金洗浄といったオンチェーン上の脅威とは異なり、本キャンペーンでは資金流出トランザクションを必要としない。現時点でこのキャンペーンに紐づく確認済みのオンチェーン損失は確認されておらず、主な証拠はTrezor自身のインシデント声明にとどまる。同社の対策ガイダンスは不変だ。いかなるウェブサイトにもウォレットのバックアップを入力せず、送信者がどれほど本物らしく見えても、シードフレーズ、PIN、確認コードを求める要求はすべて詐欺として扱うことだ。