Brevo-Anmeldeschwachstelle legte E-Mail-Konten von Trezor, BitBox und CoinTracking offen
Wichtige Erkenntnisse
- •Brevo zufolge ermöglichte ein Fehler bei der Autorisierungsgrenze dem Angreifer den Zugriff auf Organisationen, die mit eingeladenen legitimen Nutzern verbunden waren.
- •Der Angreifer versendete eine Phishing-E-Mail an etwa 347.000 Trezor-Abonnenten; rund 2.500 Menschen öffneten den Link, bevor die Domain deaktiviert wurde.
- •Trezor erklärte, dass sein Brevo-Konto nur Newsletter-Adressen von Nutzern enthielt, die dem Erhalt zugestimmt hatten, und keine weiteren Kundendaten.
- •BitBox berichtete, dass seine E-Mail- und Spracheinstellungsdaten möglicherweise abgerufen wurden, fand jedoch keine Hinweise auf kompromittierte Zugangsdaten, verlorene Gelder oder offengelegte Wiederherstellungsphrasen.
- •Brevo meldete den Export von Kontakten aus 43 Konten; sechs Konten versendeten Phishing-Nachrichten, während 93 keine nennenswerte Aktivität aufwiesen.
Ein Angreifer nutzte eine Schwachstelle im Login-System der E-Mail-Plattform Brevo aus, um auf 138 Kundenkonten zuzugreifen. Dadurch konnten Phishing-E-Mails an rund 347.000 Trezor-Newsletter-Abonnenten versendet und ähnliche betrügerische Nachrichten über Konten des Hardware-Wallet-Herstellers BitBox sowie der Plattform CoinTracking für Krypto-Portfolioverwaltung und Steuerberichterstattung verbreitet werden.
In einem am Donnerstag veröffentlichten Untersuchungsbericht erklärte Brevo, dass sechs Konten zum Versand von Phishing-E-Mails genutzt wurden, aus 43 Konten Kontakte exportiert wurden und 93 Konten keine nennenswerte Aktivität aufwiesen. Das Unternehmen machte keine Angaben dazu, ob sich diese Kategorien überschnitten.
Der Angreifer erstellte ein Brevo-Konto, aktivierte Single Sign-on und lud legitime Brevo-Nutzer in dessen Konfiguration ein. Laut Brevo hätte der Zugriff auf diese Organisation beschränkt bleiben müssen. Eine Autorisierungsgrenze versagte jedoch und gewährte dem Angreifer Zugriff auf jede Organisation, die die eingeladenen Nutzer erreichen konnten.
Die Veröffentlichung liefert zusätzliche Details nach Warnungen von Trezor und BitBox am Mittwoch. Sie identifizierte den gemeinsamen E-Mail-Anbieter der beiden Unternehmen und erklärte, warum die betrügerischen Nachrichten die üblichen Authentifizierungsprüfungen bestanden und echt wirkten. Cointelegraph kontaktierte Brevo wegen weiterer Informationen, hatte bis zur Veröffentlichung jedoch keine Antwort erhalten.
Die gemeldete Gefährdung betrifft E-Mail-Konten und Mailinglistendaten; in den Stellungnahmen der Unternehmen wird gesondert darauf eingegangen, ob Zugangsdaten, Gelder oder Wiederherstellungsphrasen kompromittiert wurden. Das vollständige Ausmaß für die betroffenen Kunden hängt weiterhin von den Aufzeichnungen des Dienstleisters ab. BitBox wartet auf die Protokolle von Brevo, während Brevo auf die Anfrage von Cointelegraph noch keine weiteren Informationen bereitgestellt hat.
Kryptofirmen prüfen mögliche Gefährdung von Abonnenten
In einem Blogbeitrag erklärte Trezor, dass die Phishing-Nachricht mit dem Titel „Critical Security Alert: STM32 Entropy Vulnerability“ einen Link zu einer Anwendung enthielt, die die Wallet-Backups der Nutzer anforderte. Trezor deaktivierte die Domain innerhalb von 20 Minuten auf DNS-Ebene. Zuvor hatten jedoch etwa 2.500 Menschen auf den Link zugegriffen.
Ein Trezor-Sprecher sagte gegenüber Cointelegraph, dass „die ursprüngliche E-Mail an 347.000 Kunden versendet wurde“. Das Unternehmen kontaktierte anschließend alle Betroffenen, um sie über das Risiko zu informieren. Nach Angaben von Trezor enthielt das Brevo-Konto ausschließlich E-Mail-Adressen von Abonnenten, die dem Erhalt des Newsletters zugestimmt hatten, sowie keine weiteren Kundendaten.
„Bis wir weitere Informationen von Brevo erhalten, behandeln wir alle rund 347.000 Newsletter-Adressen als dem Angreifer bekannt und möglicherweise für Phishing wiederverwendbar“, sagte der Sprecher.
Ein BitBox-Sprecher erklärte gegenüber Cointelegraph, dass die nicht autorisierte E-Mail über Brevo versendet wurde und offenbar die gesamte Newsletter- und Tutorial-Liste des Unternehmens erreicht hatte. BitBox teilte mit, dass Brevo nur E-Mail-Adressen und Spracheinstellungen gespeichert habe. Das Unternehmen fand keine Hinweise darauf, dass Firmenzugangsdaten kompromittiert, Kontakte heruntergeladen, Gelder verloren oder Wiederherstellungsphrasen offengelegt wurden. Dennoch behandelt BitBox die Liste als potenziell abgerufen und wartet auf die Protokolle von Brevo.
CoinTracking teilte mit, dass sein Brevo-Konto eine E-Mail mit dem Titel „Data Breach Notice: Please refresh API Keys as soon as possible.“ versendet habe. Das Unternehmen warnte die Empfänger davor, den Links in der Nachricht zu folgen. Der Bericht von Cointelegraph ist unter https://cointelegraph.com/news/brevo-login-flaw-trezor-bitbox-cointracking-phishing verfügbar.
