Nutzer der Hardware-Wallet-Hersteller Trezor und BitBox werden durch eine koordinierte Phishing-Kampagne angegriffen, die auf gefälschten Sicherheitswarnungen basiert. Die Angreifer verschafften sich Zugriff auf den E-Mail-Anbieter eines Drittanbieters von Trezor und verschickten eine Nachricht mit dem Titel „Critical Security Alert: STM32 Entropy Vulnerability“. Gleichzeitig erhielten BitBox-Nutzer eine eng verwandte E-Mail mit dem Titel „Microcontroller Entropy Vulnerability“. Da die Nachrichten über kompromittierte Anbieter versendet wurden, die die Unternehmen für legitime E-Mails nutzen, erreichten sie die Postfächer der Kunden über Kanäle, denen Nutzer kaum misstrauen mussten.

Die gefälschte Trezor-Nachricht behauptet fälschlicherweise, ein Fabrikationsfehler in STM32-Mikrocontrollern habe die Erzeugung von Wiederherstellungsphrasen bei ungefähr einem von vier Trezor-Geräten geschwächt. Die Empfänger werden auf eine Seite zur Überprüfung der Schwachstelle geleitet, die darauf ausgelegt ist, Wallet-Informationen oder Wiederherstellungswörter zu erfassen. Trezor nahm die Phishing-Domain vom Netz und erklärte, dass seine Hardware-Wallets, privaten Schlüssel und Wiederherstellungs-Backups sicher seien. Die Wiederherstellungswörter sind nicht ohne Grund das Ziel: Als zentrale Sicherung einer Hardware-Wallet kann eine Phrase in den Händen eines Angreifers dazu verwendet werden, das Wallet an anderer Stelle wiederherzustellen und die darin verwahrten Gelder auszugeben.

Die vorläufige Untersuchung von BitBox deutet auf einen kompromittierten Newsletter-Anbieter hin, den mehrere Bitcoin-Unternehmen gemeinsam nutzen. Die meisten identifizierten Phishing-Links wurden inzwischen offline genommen. Durch die gemeinsame Nutzung desselben Anbieters genügte ein einziger kompromittierter Zugang, um Kunden mehrerer Unternehmen in einer einzigen Welle mit ähnlichen Phishing-Nachrichten zu erreichen. Technische Spuren der Kampagne zeigten ein Brevo/Sendinblue-Routing, obwohl keiner der beiden Wallet-Hersteller Brevo in seiner ersten Warnung öffentlich als den kompromittierten Anbieter nannte. Trezor veröffentlichte den Vorfall in einem PSA auf seinem offiziellen Subreddit, und BitBox veröffentlichte ein Update auf r/BitBoxWallet sowie offizielle Hinweise zum Umgang mit Phishing-Versuchen.

Keine bestätigten Verluste gemeldet

Bis zum 10. September waren keine bestätigten Verluste bei Nutzern durch die Kampagne bekannt. Mehrere Nutzer erklärten, sie hätten auf den Phishing-Link geklickt, jedoch vor der Eingabe sensibler Daten abgebrochen. In diesen öffentlichen Berichten wurde kein Leeren von Wallets festgestellt.

BitBox rät allen, die Wiederherstellungswörter auf der gefälschten Seite eingegeben haben, das Wallet als kompromittiert zu betrachten und verbleibende Gelder auf ein neu generiertes Wallet zu übertragen. Der bloße Empfang der E-Mail oder das Öffnen des Links ohne Eingabe von Informationen legt die Wiederherstellungsphrase nicht automatisch offen.

Echte Wallet-Schwachstellen verleihen dem Betrug Glaubwürdigkeit

Die Kampagne folgt auf echte Veröffentlichungen zu Sicherheitsproblemen bei Wallets, die den gefälschten Warnungen ein glaubwürdigeres Erscheinungsbild verleihen. Im August schloss BitBox zwei schwerwiegende Schwachstellen, darunter ein Problem mit Speicherkorruption und eine ältere Schwachstelle im Bootloader, die unter bestimmten Bedingungen die Installation schädlicher Firmware ermöglichen könnte. BitBox waren keine gestohlenen Gelder bekannt, die mit diesen Schwachstellen in Verbindung standen.

Trezor war unabhängig davon mit einer Datenpanne bei ShipMonk konfrontiert, deren Umfang kürzlich um etwa 67.000 Kunden in den USA erweitert wurde. Namen, E-Mail-Adressen, Telefonnummern, Lieferadressen und Bestellinformationen wurden offengelegt. Dadurch standen mehr persönliche Daten für gezielte Phishing-Angriffe zur Verfügung, obwohl die Wallet-Systeme und Backups von Trezor nicht kompromittiert wurden.

Die gefälschte Entropie-Warnung erinnert außerdem an den Weak-Seed-Fehler von Coldcard, der zu mehr als 1,778 BTC an Diebstählen mit hoher Beweissicherheit führte und im August dringende Firmware-Änderungen auslöste. Vor dem Hintergrund echter Sicherheitsmeldungen wird eine E-Mail mit Sicherheitsbezug eher für bare Münze genommen – genau diese Glaubwürdigkeit nutzte die Kampagne aus.

Trezor untersucht weiterhin den Zugriff auf seine E-Mail-Infrastruktur, während BitBox seinen Newsletter-Anbieter kontaktiert und die Phishing-Domains gemeldet hat. Beide Unternehmen haben Updates über ihre offiziellen Subreddits und Support-Seiten veröffentlicht. Diese Kanäle dienen daher als Bezugspunkt für verifizierte Informationen, während die Untersuchungen fortgesetzt werden.