ハードウェアウォレットメーカーのTrezorとBitBoxのユーザーが、偽のセキュリティ警告を軸とした組織的なフィッシングキャンペーンの標的になっている。攻撃者はTrezorのサードパーティ製メールプロバイダーに侵入し、「Critical Security Alert: STM32 Entropy Vulnerability(重要なセキュリティ警告:STM32エントロピー脆弱性)」と題するメッセージを配信した。一方、BitBoxのユーザーにも、内容がよく似た「Microcontroller Entropy Vulnerability(マイクロコントローラーエントロピー脆弱性)」というメールが届いている。これらのメッセージは、両社が正規のメール送信に利用していたプロバイダーが侵害されていたことで送られたため、ユーザーが疑う理由の少ない経路で顧客の受信トレイに届いた。

偽のTrezorメッセージは、STM32マイクロコントローラーの製造上の欠陥により、およそ4台に1台のTrezorデバイスでリカバリーフレーズの生成が弱まったとする虚偽の主張をしている。受信者は、ウォレット情報やリカバリーワードを収集することを目的とした脆弱性チェックページへ誘導される。Trezorはフィッシングドメインを削除し、同社のハードウェアウォレット、秘密鍵、リカバリーバックアップは安全なままであると述べた。リカバリーワードが標的にされるのには理由がある。ハードウェアウォレットのマスターバックアップであるフレーズが攻撃者の手に渡れば、ウォレットを別の場所で再作成し、保護されていた資金を使用することが可能になるためだ。

BitBoxの予備調査では、複数のBitcoin関連企業が共用するニュースレタープロバイダーの侵害が示唆されており、確認されたフィッシングリンクの大半はすでにオフラインにされている。このベンダーの共用体制により、一度の侵害で、複数企業の顧客に同一波で内容の似たフィッシングメッセージを届けられることになった。キャンペーンの技術的な痕跡にはBrevo/Sendinblueのルーティングが確認されたが、いずれのウォレットメーカーも当初の警告ではBrevoを侵害されたプロバイダーとして公表していない。Trezorは公式サブレディットでのPSAで本件を公表し、BitBoxはr/BitBoxWalletでの更新情報に加え、フィッシングへの対処に関する公式ガイダンスを公開した。

これまでに確認された損失の報告はなし

9月10日時点で、このキャンペーンによる確認済みのユーザー損失は表面化していない。複数のユーザーはフィッシングリンクをクリックしたものの、機密情報を入力する前に中断したと述べており、これらの公開報告ではウォレットからの資金流出は確認されていない。

BitBoxは、偽ページにリカバリーワードを入力した人はウォレットを侵害されたものとして扱い、残りの資金を新しく生成したウォレットへ移すよう勧告している。メールの受信や、情報を入力しないままのリンクを開くことだけでは、それ自体でリカバリーフレーズが露出することはない。

実際のウォレット脆弱性が詐欺に信憑性を与える

このキャンペーンは、偽の警告に一層の信憑性を与える実際のウォレットセキュリティに関する開示に続いて発生した。8月、BitBoxはメモリ破壊の問題や、特定の条件下で悪意のあるファームウェアのインストールを助長しかねない旧来のブートローダー弱点を含む2つの重大な脆弱性を修正した。これらの脆弱性に関連して盗まれた資金は確認されていない。

別の動きとして、TrezorはShipMonkのデータ侵害にも対応してきたが、その影響範囲は最近、米国の顧客約67,000人分拡大した。氏名、メールアドレス、電話番号、配送先住所、注文情報が露出し、標的型フィッシングに利用できる個人情報の量が増加したが、Trezorのウォレットシステムとバックアップは侵害されていない。

この偽のエントロピー警告は、確度の高い窃取で1,778 BTC超の被害を生み、8月に緊急のファームウェア変更を促したColdcardの弱シード(weak-seed)不具合とも呼応している。こうした実際の開示を背景に、セキュリティをテーマにしたメールは額面どおり受け入れられやすく、まさにこのキャンペーンが利用した信憑性である。

Trezorはメールインフラへのアクセスに関する調査を継続しており、BitBoxはニュースレタープロバイダーに連絡し、フィッシングドメインを報告した。両社は公式サブレディットとサポートページで更新情報を公開しており、調査の進展に伴い、これらのチャネルが確認済み情報の拠り所となっている。