Trezor表示，黑客入侵了其第三方电子邮件服务商，并利用该服务发送伪装成重大安全警告的网络钓鱼邮件。这则欺诈警报虚假声称，硬件漏洞削弱了部分Trezor设备上恢复短语的安全性。

该公司周三警告用户，一封标题为“Critical Security Alert: STM32 Entropy Vulnerability”的邮件并非来自Trezor。Trezor在X上写道：“请注意，名为‘Critical Security Alert: STM32 Entropy Vulnerability’的邮件并非来自我们，而是一次网络钓鱼攻击。请勿点击任何链接。”

Trezor表示，已关闭攻击中使用的域名，并正在调查黑客如何获得其合法域名的访问权限。这封邮件虚假声称，Trezor工程师发现了公司设备所使用STM32微控制器中的“关键硬件级漏洞”。邮件还声称，该缺陷影响预计四分之一的设备，可能导致恢复短语的随机性不足，即熵不足。

这一说法似乎意在利用近期Coldcard漏洞攻击引发的担忧；该事件曾导致用户损失超过1.3亿美元的比特币。Trezor在东部时间下午4:30刚过发布声明，称该邮件具有欺诈性并提醒用户，但当时距离多名用户报告收到这封看似来自合法Trezor电子邮件地址的钓鱼邮件已经过去数小时。

Casa联合创始人兼首席执行官Nick Neuman表示，这一活动可能不止针对Trezor，并补充说他也听到了BitBox用户收到类似邮件的报告。Neuman在X上表示：“营销邮件服务商很可能遭到了入侵。保持警惕，不要相信那些试图通过看起来可疑的链接诱导你采取操作的服务商邮件。”

一名用户Marcello Paz于2026年9月9日在X上发布了这封邮件的详情。他表示，Gmail显示发件人为Trezor Security help@trezor.io，返回路径为noreply@mailing.trezor.io。他还称，邮件标明使用了Sendinblue活动，并显示针对

据报告显示的发件人信息和身份验证结果可能会让收件人认为邮件合法，但这并不能证明其中的安全声明属实。用户应通过公司的官方渠道核实安全通告，而不是依赖电子邮件中的链接。

比特币安全研究员兼Casa首席安全官Jameson Lopp也发出了类似警告。他在X上写道：“威胁行为者可能已经入侵了Trezor和BitBox所使用的电子邮件服务商。”Lopp还写道：“声称两家公司的随机数生成器（RNG）存在问题、需要进行安全更新的恶意邮件正在发送，而且这些邮件看起来并非伪造。并没有发布过这样的安全通告！”

今年8月，在研究人员披露影响Coldcard设备的漏洞后，Trezor及另一家加密货币硬件钱包制造商Foundation警告用户，称有人利用用户对硬件钱包安全性的担忧发动网络钓鱼攻击。

同月，Trezor报告称，物流服务商ShipMonk发生的数据泄露事件暴露了80,689人的客户数据，包括姓名、电子邮件地址、电话号码和收货地址。该公司警告称，泄露的信息可能被用于实施更复杂的网络钓鱼攻击。Trezor的报告可参见其官方公告。