Trezor、フィッシング警告送信のためハッカーがメールプロバイダーに侵入したと発表
重要ポイント
- •ハッカーはTrezorが利用していた第三者メールプロバイダーに侵入し、STM32マイクロコントローラーの脆弱性に関する緊急勧告を装ったフィッシングメールを送信した。
- •Trezorは「Critical Security Alert: STM32 Entropy Vulnerability」というメールが不正なものだと確認し、4台に1台に影響するとされた欠陥は存在しないとして、リンクをクリックしないようユーザーに求めた。
- •同社は攻撃に使われたドメインを停止し、ハッカーが正規の送信ドメインにアクセスした方法を調査している。
- •Casaの幹部であるNick NeumanとJameson Loppは、キャンペーンがBitBoxユーザーにも及ぶ可能性があると警告し、メールがDKIM、SPF、DMARCのチェックを通過しており、なりすましには見えなかったと指摘した。
- •このフィッシング攻撃は、ShipMonkの侵害により80,689人のTrezor顧客のデータが流出し、より巧妙な攻撃に利用される可能性があると同社が警告した8月の事案に続いて発生した。
Trezorは、ハッカーが同社の第三者メールプロバイダーに侵入し、重大なセキュリティ警告を装ったフィッシングメールの配信に利用したと述べた。不正な警告は、ハードウェアの欠陥によって一部のTrezorデバイスのリカバリーフレーズが弱体化したと偽って主張していた。
同社は水曜日、 「Critical Security Alert: STM32 Entropy Vulnerability」と題されたメールはTrezorから送信されたものではないとユーザーに警告した。「Please be aware that the email named ‘Critical Security Alert: STM32 Entropy Vulnerability’ is not coming from us, and it’s a phishing attempt. Do not click on any link」とTrezorは Xで投稿した。
Trezorは、攻撃に使われたドメインを停止し、ハッカーが正規のドメインにアクセスした方法を調査していると述べた。メールは、Trezorのエンジニアが同社のデバイスで使われているSTM32マイクロコントローラーに「critical hardware-level vulnerability」を発見したと偽って主張していた。さらに、この欠陥は推定で4台に1台に影響し、リカバリーフレーズのランダム性、すなわちエントロピーが不十分になる可能性があるとしていた。
この主張は、ユーザーに1億3,000万ドル超相当のBitcoinの損失をもたらした最近のColdcardエクスプロイトによって生じた懸念を利用するよう設計されたようだ。Trezorは午後4時30分過ぎ（Easter Time）にメールを詐欺と断定し、ユーザーに警告する声明を発表したが、複数のユーザーが正規のTrezorメールアドレスに見える送信元からフィッシングメッセージを受け取ったと報告してから数時間後だった。
Casaの共同創業者兼CEOであるNick Neumanは、このキャンペーンがTrezor以外にも及ぶ可能性があると述べ、BitBoxユーザーからも同様の報告を聞いていると付け加えた。「It’s likely that a marketing email provider was compromised」とNeumanは Xで述べた。「Stay frosty and don't trust provider emails that try to get you to take actions via sketchy looking links.」
ユーザーの1人であるMarcello Pazは、2026年9月9日にXでメールの詳細を投稿した。同氏によると、Gmailでは送信者がTrezor Security help@trezor.ioと表示され、リターンパスはnoreply@mailing.trezor.ioだった。また、メールにはSendinblueのキャンペーンが記載され、 についてDKIM、SPF、DMARCがすべてパスしていると表示されたという。同氏の投稿には、キャンペーンの追跡リンクとURL が含まれていた：X上のMarcello Pazの投稿。
報告された送信者情報や認証チェックにより、受信者にはメッセージが正規のものに見えた可能性があるが、それによってセキュリティ上の主張が本物になるわけではない。ユーザーはメール内のリンクに頼るのではなく、企業の公式チャネルを通じてセキュリティ勧告を確認すべきだ。
Bitcoinセキュリティ研究者で、Casaの最高セキュリティ責任者（CSO）でもあるJameson Loppも、同様の警告を発した。「Threat actors may have compromised the email provider(s) used by Trezor and BitBox」と同氏は Xに記した。「Malicious emails claiming both have bad RNGs that require security updates are being sent, and the emails don't appear to be spoofed. No such security advisory has been issued!」
8月には、Trezorと暗号資産ハードウェアウォレットメーカーのFoundationが、研究者らがColdcardデバイスに影響する脆弱性を公表した後、ハードウェアウォレットのセキュリティに対する懸念を悪用したフィッシングに注意するようユーザーに警告していた。
同月、Trezorは配送業者ShipMonkで発生した侵害により、氏名、メールアドレス、電話番号、配送先住所など、80,689人分の顧客データが流出したと報告した。同社は、流出情報がより巧妙なフィッシング攻撃に利用される可能性があると警告した。Trezorの報告は公式発表で確認できる。
