Valse Trezor-mail over chiplek probeert je back-upwoorden te stelen
Trezor waarschuwt voor een nepmail met als onderwerp 'Critical Security Alert: STM32 Entropy Vulnerability'. De mail lijkt van Trezor zelf te komen en leidt naar een site die om je back-upwoorden vraagt. Wie die woorden nergens invult, raakt niets kwijt.
Trezor, de Tsjechische maker van hardware wallets, plaatste de waarschuwing woensdagavond op X. Een hardware wallet is een apparaatje dat de sleutels van je crypto offline bewaart. Volgens het bedrijf is de externe partij gehackt die zijn e-mail verstuurt. Daardoor konden aanvallers een phishingmail rondsturen, een nepbericht dat je naar een valse website lokt.
Wat de mail vraagt
In het kort
- De nepmail linkt naar een verificatiepagina die vraagt om de wallet-back-up van 12, 20 of 24 woorden.
- Trezor zegt dat de eigen systemen niet zijn gehackt en dat de apparaten zelf veilig zijn.
- Bij het eerdere datalek bij verzendpartner ShipMonk lekten de gegevens van 80.689 klanten, inclusief adres en telefoonnummer.
De mail claimt een lek in de STM32, een chip die in Trezor-apparaten zit, en dringt aan op directe actie. Achter de link zit een pagina die om de wallet-back-up vraagt: de rij van 12, 20 of 24 woorden waarmee je een wallet herstelt. Met die woorden kan een vreemde alle crypto in de wallet wegsluizen.
Gebruikers meldden de mail woensdagavond op het forum van Trezor. Het afzenderadres was volgens hen hetzelfde adres dat Trezor voor support gebruikt. Sommigen kregen een iets andere onderwerpregel: 'STM32 Entropy Bug Identified'.
Trezor haalde het domein offline
Trezor liet het domein achter de nepsite weghalen en zoekt uit hoe de aanvallers bij het legitieme domein konden komen, schrijft het bedrijf op X. Hoeveel klanten de mail hebben gekregen, zegt Trezor niet.
Eerder lekten adressen van 80.689 klanten
De phishingmail volgt op een datalek bij ShipMonk, de logistieke partner die Trezor-bestellingen verstuurt. Daarbij lekten namen, e-mailadressen, telefoonnummers en adressen. Begin september bleek dat lek groter dan gedacht: er zaten ook Amerikaanse bestellingen uit november 2019 tot augustus 2021 in, die ShipMonk volgens Trezor allang had moeten wissen. In totaal gaat het om 80.689 klanten.
Trezor waarschuwde die klanten toen al voor nepmails, valse telefoontjes en frauduleuze brieven met de gelekte gegevens.
Wie twijfelt over een mail die van Trezor lijkt te komen, kan die voorleggen aan de klantenservice op trezor.io/support. Trezor vraagt nooit om de back-upwoorden, ook niet bij een beveiligingsprobleem.