A fabricante de carteiras de hardware Trezor informou que um de seus fornecedores terceirizados sofreu uma violação de segurança e alertou os usuários de que o e-mail intitulado “Alerta crítico de segurança: vulnerabilidade de entropia do STM32” não foi enviado pela empresa, mas se tratava de uma tentativa de phishing.
A empresa pediu aos usuários que não clicassem em nenhum link.
Golpe de phishing envolvendo a Trezor
Em uma atualização no X, a Trezor informou que havia derrubado o domínio e investigava como os hackers acessaram seu domínio legítimo. A mensagem de phishing em questão tentava convencer os usuários de que uma grave falha de segurança havia sido encontrada nos microcontroladores STM32 usados em seus dispositivos. Segundo o alerta fabricado, os microcontroladores STM32 poderiam gerar frases de recuperação sem aleatoriedade suficiente, colocando potencialmente os fundos dos usuários em risco. O e-mail também afirma que até 25% dos dispositivos podem ter sido afetados.
Segundo Nick Neuman, CEO e cofundador da Casa, o problema pode não se limitar aos usuários da Trezor. Ele observou que também surgiram relatos de mensagens semelhantes entre pessoas que usam o dispositivo BitBox.
Esta não é a primeira vez que um parceiro terceirizado ligado à Trezor sofre uma violação de segurança. Em agosto, a plataforma divulgou um incidente de segurança semelhante envolvendo seu parceiro de logística, a ShipMonk, que comprometeu dados pessoais de um grande número de clientes.
As informações expostas incluíam dados de contato e entrega. Uma divulgação anterior estimou em 13.689 o número de pessoas afetadas. No entanto, mais tarde, a Trezor confirmou que cerca de 67.000 clientes adicionais nos EUA foram afetados, elevando para 80.689 o total de pessoas cujas informações foram expostas.
Preocupações com o hardware
Um teste de segurança separado também levantou preocupações sobre o chip TROPIC01 presente na carteira Safe 7 da Trezor. Em junho, pesquisadores do Donjon, da Ledger, descobriram que, com equipamentos especializados e acesso físico ao dispositivo, um invasor poderia interferir no chip durante a verificação do firmware.
Os pesquisadores usaram um laser de 1064 nm cuidadosamente focalizado para provocar falhas durante o processo de inicialização e atualização. Isso poderia permitir a execução de um firmware modificado. A Trezor, porém, afirmou que a descoberta não coloca os fundos dos usuários em risco.
O investigador de blockchain ZachXBT já foi bastante direto ao falar sobre carteiras de hardware. Ele havia dito que todas as carteiras de hardware são “um lixo completo” e que não as usaria para transações importantes nem para armazenar fundos. Em vez disso, sugeriu manter um iPhone separado exclusivamente para usar com a carteira.
Fonte: CryptoPotato
