E-maile phishingowe dotyczące Trezora pochodziły z adresu nadawcy należącego do samej firmy Trezor

Około 347 000 osób z listy subskrybentów biuletynu firmy Trezor otrzymało 9 września wiadomość e-mail. Ostrzegała ona przed „luką w zabezpieczeniach STM32 Entropy” w ich portfelu sprzętowym. Nadawcą był adres [email protected]. Adres ten jest prawdziwy, podpis został zweryfikowany, a wiadomość wykorzystywała tę samą infrastrukturę, z której korzysta firma Trezor do wysyłania własnego newslettera. Wiadomość została napisana przez przestępców.

W wiadomości e-mail stwierdzono, że mniej więcej co czwarte urządzenie Trezor zostało dostarczone z wadą fabryczną. Jak podano, generator liczb losowych był zbyt słaby, a frazy odzyskiwania można było złamać metodą brute force przy entropii wynoszącej 40 bitów. Każdy, kto kliknął w link, trafił do aplikacji, która prosiła o podanie tych słów odzyskiwania. To wystarczyło, by całkowicie opróżnić portfel – trwale i bez możliwości cofnięcia tej operacji. Firma Trezor twierdzi, że w ciągu 20 minut zablokowała domenę na poziomie DNS. Do tego momentu link otworzyło już 2 500 odbiorców.

Dlaczego sprawdzenie adresu nadawcy nie pomaga w tym przypadku

Firma Trezor wysyła swój biuletyn za pośrednictwem serwisu Brevo, dawniej znanego jako Sendinblue. Opis zdarzenia opublikowany przez Brevo wyjaśnia, w jaki sposób atakujący uzyskał dostęp. Utworzył on własne konto w serwisie Brevo, włączył funkcję pojedynczego logowania (SSO) i zaprosił do tej konfiguracji legalnych użytkowników serwisu Brevo. Następnie mógł wykorzystać własnego dostawcę tożsamości, aby zalogować się jako ci użytkownicy, co samo w sobie jest zgodne z zasadami działania funkcji SSO. Błąd wystąpił na granicy systemu. Brevo podaje, że dostęp „nie został odpowiednio ograniczony”, więc zamiast pozostać w obrębie jednej organizacji, dotarł do wszystkich organizacji, do których mieli dostęp zaproszeni użytkownicy.

Brevo zidentyfikowało 138 kont klientów, których dotyczyła ta sytuacja. 6 z nich zostało wykorzystanych do wysłania wiadomości phishingowych do zapisanych tam kontaktów, z 43 kont napastnik wyeksportował listy kontaktów, a na 93 nie odnotowano żadnej znaczącej aktywności. Firma Brevo zablokowała tę ścieżkę o godz. 8:30 czasu UTC 10 września i wylogowała wszystkich użytkowników z platformy. Firma przyznaje, że nie udało jej się zapewnić ochrony odbiorcom, których powierzyli jej klienci. Ataki pochodzące z prawdziwych, zaufanych kanałów nie są niczym niezwykłym. W lipcu płatna reklama w Bing dotycząca fałszywej aplikacji Claude przekierowywała ofiary na stronę prawdziwego dostawcy.

Trezor nie był jedynym celem

Prawie w tym samym czasie w ten sam atak wpadły dwie inne firmy. Szwajcarski producent portfeli sprzętowych BitBox zgłosił otrzymanie niemal identycznej wiadomości e-mail skierowanej do subskrybentów swojego newslettera. W temacie wiadomości ostrzegano o wymyślonym błędzie entropii w mikrokontrolerze. CoinTracking, platforma podatkowo-portfelowa, otrzymała inną przynętę, ponieważ nie sprzedaje sprzętu. W wiadomości tej nakazano klientom odświeżenie kluczy API, które rzekomo zostały naruszone.

Brevo nie jest ani niszowym dostawcą, ani firmą działającą wyłącznie w branży kryptowalut. Ta francuska firma nabyła w 2019 r. berlińską spółkę Newsletter2Go wraz z jej bazą klientów, a obecnie z platformy tej korzysta znaczna liczba europejskich serwisów wysyłających biuletyny. Nie trzeba posiadać portfela sprzętowego, aby znaleźć się na liście mailingowej obsługiwanej przez tego samego dostawcę.

Co faktycznie pomaga w tej sytuacji

Standardowa rada, by sprawdzić adres nadawcy, w tym przypadku zawodzi, ponieważ adres był poprawny. Również protokoły SPF, DKIM i DMARC nie zgłosiły żadnych nieprawidłowości. Brevo wyjaśnia to wprost, pisząc, że wiadomości „zostały wysłane za pośrednictwem legalnej infrastruktury, dzięki czemu przeszły standardowe kontrole uwierzytelniające poczty elektronicznej i wyglądały na autentyczne”. Pozostaje zatem sama prośba. Firma Trezor oświadcza w swoim poście, że „nigdy nie skontaktuje się z Państwem z prośbą o kopię zapasową portfela”. Ktokolwiek o nią prosi, nie jest zatem dostawcą. Ta sama zasada dotyczy banków, dostawców usług pocztowych oraz wszelkich kont wyposażonych w kody odzyskiwania.

Według firmy Trezor kliknięcie linku bez wprowadzania jakichkolwiek danych nie stanowi zagrożenia. Każdy, kto wpisał swoje słowa odzyskiwania, powinien natychmiast przenieść środki do nowego portfela. Adresy te prawdopodobnie pozostaną w obiegu. Na początku września firma Trezor musiała potwierdzić, że naruszenie bezpieczeństwa u jej partnera logistycznego, firmy ShipMonk, dotknęło ponad 80 000 klientów, czyli znacznie więcej niż początkowo podano.