Gli utenti dei produttori di wallet hardware Trezor e BitBox sono presi di mira da una campagna di phishing coordinata costruita attorno a falsi avvisi di sicurezza. Gli aggressori hanno violato il fornitore di posta elettronica terzo utilizzato da Trezor e hanno distribuito un messaggio intitolato “Critical Security Alert: STM32 Entropy Vulnerability”, mentre gli utenti BitBox hanno ricevuto un'email strettamente correlata intitolata “Microcontroller Entropy Vulnerability”. Poiché i messaggi sono stati inviati tramite fornitori compromessi che le aziende utilizzano per la posta legittima, sono arrivati nelle caselle di posta dei clienti attraverso canali di cui gli utenti avevano poco motivo di diffidare.

Il messaggio fraudolento di Trezor afferma falsamente che un difetto di fabbrica nei microcontrollori STM32 avrebbe indebolito la generazione delle frasi di recupero su circa un dispositivo Trezor su quattro. I destinatari vengono indirizzati verso una pagina di verifica delle vulnerabilità progettata per raccogliere informazioni sul wallet o le parole di recupero. Trezor ha messo offline il dominio di phishing e ha dichiarato che i propri wallet hardware, le chiavi private e i backup di recupero restano sicuri. Le parole di recupero sono il bersaglio per un motivo: in qualità di backup principale di un wallet hardware, una frase nelle mani di un aggressore può essere usata per ricreare il wallet altrove e spendere i fondi che protegge.

Le indagini preliminari di BitBox indicano un fornitore di newsletter compromesso condiviso da diverse aziende Bitcoin, e la maggior parte dei link di phishing identificati è stata messa offline. Questa presenza condivisa di un unico fornitore ha significato che una singola compromissione è bastata a portare messaggi di phishing corrispondenti davanti ai clienti di più aziende in un'unica ondata. Le tracce tecniche della campagna hanno evidenziato l'instradamento tramite Brevo/Sendinblue, sebbene nessuno dei due produttori di wallet abbia pubblicamente indicato Brevo come fornitore compromesso nel proprio avviso iniziale. Trezor ha divulgato l'incidente con un PSA sul proprio subreddit ufficiale, e BitBox ha pubblicato un aggiornamento su r/BitBoxWallet insieme a indicazioni ufficiali su come rispondere ai tentativi di phishing.

Nessuna perdita confermata segnalata

Al 10 settembre non erano emerse perdite confermate per gli utenti a causa della campagna. Diversi utenti hanno dichiarato di aver fatto clic sul link di phishing ma di essersi fermati prima di inserire dati sensibili, e in quelle segnalazioni pubbliche non è stato identificato alcun svuotamento di wallet.

BitBox consiglia a chiunque abbia inserito le parole di recupero nella pagina fraudolenta di considerare il wallet come compromesso e di trasferire i fondi rimanenti in un wallet appena generato. La semplice ricezione dell'email o l'apertura del link senza inserire informazioni non espone di per sé la frase di recupero.

I difetti reali dei wallet danno credibilità alla truffa

La campagna segue divulgazioni autentiche sulla sicurezza dei wallet che conferiscono ai falsi avvisi un aspetto più credibile. Ad agosto, BitBox ha corretto due vulnerabilità gravi, tra cui un problema di corruzione della memoria e una debolezza più datata del bootloader che avrebbe potuto consentire l'installazione di firmware dannoso in condizioni specifiche. BitBox non aveva fondi rubati noti legati a tali vulnerabilità.

Trezor ha affrontato separatamente una violazione di ShipMonk il cui ambito si è recentemente esteso di circa 67.000 clienti statunitensi. Sono stati esposti nomi, indirizzi email, numeri di telefono, indirizzi di spedizione e informazioni sugli ordini, aumentando la quantità di dati personali disponibili per il phishing mirato, sebbene i sistemi dei wallet di Trezor e i relativi backup non siano stati compromessi.

Il falso avviso sull'entropia richiama anche il guasto del seed debole di Coldcard, che ha prodotto oltre 1.778 BTC in furti ad alta confidenza e ha portato ad agosto a modifiche urgenti del firmware. Sullo sfondo di queste divulgazioni reali, un'email a tema sicurezza è più propensa a essere presa alla lettera, ed è proprio questa la credibilità sfruttata dalla campagna.

Trezor continua a indagare sull'accesso alla propria infrastruttura di posta elettronica, mentre BitBox ha contattato il proprio fornitore di newsletter e ha segnalato i domini di phishing. Entrambe le aziende hanno utilizzato i propri subreddit ufficiali e le pagine di supporto per pubblicare aggiornamenti, rendendo questi canali il punto di riferimento per le informazioni verificate proseguono le indagini.