Il produttore di wallet hardware Trezor ha dichiarato che un suo fornitore terzo è stato violato e ha avvertito gli utenti che un’email intitolata «Avviso di sicurezza critico: vulnerabilità dell’entropia STM32» non è stata inviata dall’azienda, ma era un tentativo di phishing.
L’azienda ha invitato gli utenti a non cliccare su alcun link.
Truffa di phishing ai danni di Trezor
In un aggiornamento su X, Trezor ha dichiarato di aver disattivato il dominio e di stare indagando su come gli hacker siano riusciti ad accedere al suo dominio legittimo. Il messaggio di phishing in questione cercava di convincere gli utenti che fosse stata individuata una grave vulnerabilità di sicurezza nei microcontrollori STM32 utilizzati nei suoi dispositivi. Secondo il falso avviso, i microcontrollori STM32 potrebbero generare frasi di recupero senza sufficiente casualità, mettendo potenzialmente a rischio i fondi degli utenti. L’email sostiene inoltre che potrebbe essere interessato fino al 25% dei dispositivi.
Secondo Nick Neuman, CEO e cofondatore di Casa, il problema potrebbe non riguardare solo gli utenti di Trezor. Ha osservato che sono emerse segnalazioni di messaggi simili anche tra le persone che utilizzano il dispositivo BitBox.
Non è la prima volta che un partner terzo collegato a Trezor subisce una violazione della sicurezza. Ad agosto, la piattaforma ha reso noto un incidente di sicurezza simile che ha coinvolto il suo partner logistico ShipMonk e ha compromesso i dati personali associati a un gran numero di clienti.
Le informazioni esposte includevano dati di contatto e di consegna. Una comunicazione precedente indicava che le persone interessate erano 13.689. Tuttavia, in seguito Trezor ha confermato che erano stati coinvolti circa 67.000 clienti statunitensi in più, portando a 80.689 il totale delle persone i cui dati sono stati esposti.
Problemi di sicurezza hardware
Un test di sicurezza separato ha inoltre sollevato dubbi sul chip TROPIC01 presente nel wallet Safe 7 di Trezor. A giugno, i ricercatori del Donjon di Ledger hanno scoperto che, con attrezzature specializzate e accesso fisico al dispositivo, un aggressore poteva interferire con il chip durante la verifica del firmware.
I ricercatori hanno utilizzato un laser a 1064 nm, focalizzato con precisione, per provocare anomalie durante il processo di avvio e aggiornamento. Ciò potrebbe consentire l’esecuzione di firmware modificato. Trezor ha tuttavia dichiarato che questa scoperta non mette a rischio i fondi degli utenti.
In passato, l’investigatore blockchain ZachXBT si è espresso senza mezzi termini sui wallet hardware. Aveva già affermato che tutti i wallet hardware sono «spazzatura assoluta» e che non li userebbe per transazioni importanti né per custodire fondi; ha inoltre suggerito di tenere un iPhone separato da usare esclusivamente per il wallet.
Fonte: CryptoPotato
