Trezor 與 BitBox 硬體錢包製造商的用戶，正成為一場以偽造安全警告為核心的協同式網路釣魚攻擊目標。攻擊者入侵了 Trezor 的第三方電子郵件服務商，並發送標題為「Critical Security Alert: STM32 Entropy Vulnerability」的訊息；BitBox 用戶則收到內容高度相關、標題為「Microcontroller Entropy Vulnerability」的電子郵件。由於這些訊息是透過兩家公司用於發送正常郵件、但已遭入侵的服務商發出，因此能夠透過用戶原本沒有理由不信任的管道抵達客戶收件匣。

這封偽造的 Trezor 訊息聲稱，STM32 微控制器存在製造缺陷，導致約四分之一的 Trezor 裝置在產生恢復短語時安全性降低。收件者被引導至一個旨在蒐集錢包資訊或恢復單字的漏洞檢查頁面。Trezor 已關閉該網路釣魚網域，並表示其硬體錢包、私鑰與恢復備份仍然安全。恢復單字之所以成為目標，是有原因的：作為硬體錢包的主要備份，掌握在攻擊者手中的短語可被用於在其他地方重建錢包，並花費其中所保管的資金。

BitBox 的初步調查指向一家由多家 Bitcoin 公司共用、但已遭入侵的電子報服務商，而大多數已確認的網路釣魚連結也已下線。這種共用供應商的架構意味著，只要一次入侵，就足以在同一波攻擊中，將內容相同的網路釣魚訊息發送給多家公司的客戶。攻擊活動的技術跡象顯示使用了 Brevo/Sendinblue 路由，但兩家錢包製造商都沒有在最初的警告中公開點名 Brevo 是遭入侵的服務商。Trezor 在官方 subreddit 上的 PSA中披露了這起事件；BitBox 則在r/BitBoxWallet 上發布更新，並提供了關於如何應對網路釣魚攻擊的官方指南。

尚未通報已確認的損失

截至 9月10日，這起攻擊尚未出現任何已確認的用戶損失。多名用戶表示曾點擊網路釣魚連結，但在輸入敏感資料前便停止操作；這些公開報告中也沒有發現錢包資金遭到轉走的情況。

BitBox 建議任何曾在詐騙頁面輸入恢復單字的人，應將該錢包視為已遭入侵，並將剩餘資金轉移至新生成的錢包。單純收到電子郵件，或在未輸入任何資訊的情況下開啟連結，本身並不會暴露恢復短語。

真實錢包漏洞提高了詐騙的可信度

這起攻擊發生在多起真實錢包安全事件披露之後，使偽造警告看起來更加可信。BitBox 在 8月修補了兩個嚴重漏洞，其中包括記憶體損毀問題，以及一個較舊的 bootloader 弱點；在特定條件下，後者可能支援安裝惡意韌體。沒有已知被竊資金與 BitBox 的這些漏洞有關。

Trezor 另外也處理過 ShipMonk 資料外洩事件，其影響範圍近期又擴大約 67,000 名美國客戶。姓名、電子郵件、電話號碼、配送地址與訂單資訊遭到暴露，使可用於針對性網路釣魚的個人資料增加，但 Trezor 的錢包系統與備份並未遭到入侵。

這次偽造的熵警告也讓人聯想到 Coldcard 的弱種子失效事件。該事件造成超過 1,778 BTC 的高可信度盜竊，並促使其在 8月緊急修改韌體。在這些真實安全事件披露的背景下，以安全為主題的電子郵件更容易被收件者信以為真，而這正是此次攻擊所利用的可信度。

Trezor 持續調查其電子郵件基礎設施是否遭到未授權存取；BitBox 則已聯絡其電子報服務商，並通報相關網路釣魚網域。兩家公司都透過官方 subreddit 與支援頁面發布更新，因此在調查持續期間，這些管道將是取得已驗證資訊的參考來源。