Trezor、フィッシング攻撃後、4週間で3回目のベンダー侵害を公表

Trezorは、第三者のメールサービスが侵害され、重要なチップのセキュリティ警告を装ったフィッシングメールが顧客に送信されたことを明らかにした。これは、ハードウェアウォレット企業にとって、1か月足らずで3回目のベンダー関連インシデントとなる。

同社は、キャンペーンに関与したドメインを停止し、攻撃者がどのようにして同社の正規ドメインを利用できたのかを調査していると述べた。報道によると、ウォレット、秘密鍵、リカバリーバックアップは侵害されていない。

Trezorのメールプロバイダー侵害はShipMonkの情報漏えいに続く

一連のインシデントは、Trezorの出荷を担当する物流パートナーであるShipMonkでの侵害で8月10日に始まった。9月4日の更新によると、影響を受けた顧客の数は80,000人を超えた。

このデータ漏えいにより、氏名、電話番号、自宅住所が露出した。BeInCryptoが8月に報じたように、デバイス自体は安全を保っていたが、フィッシングや詐欺のリスクは増大した。その後、顧客からは詐欺電話や印刷された手紙を受け取ったとの報告が寄せられている。

このパターンは新しいものではない。Trezorは2024年のサポートポータルの侵害を受けて66,000人のユーザーに警告を発した。競合他社も同様の問題に直面しており、SafePalは先月約40,000件の記録を漏えいした。ハードウェアウォレットは安全なままだが、顧客データを保有するパートナーは脆弱であることが証明されている。

偽のSTM32警告が効果的な理由

フィッシングメールは「STM32エントロピー脆弱性」に関する重大なセキュリティ警告として設計されていた。STM32は、Trezorデバイス内部で使用されるマイクロチップのファミリーを指す。

エントロピーとは、ウォレットが資金を管理するリカバリーフレーズを生成するために依存するランダム性のことである。そのランダム性が弱ければ、それは本当の脅威となり、懸念するユーザーにとってこの罠は信頼できるものに見える。

「当社の第三者のメールプロバイダーが侵害されました。『Critical Security Alert: STM32 Entropy Vulnerability』という名前のメールは当社からのものではなく、フィッシングの試みであることにご注意ください。いかなるリンクもクリックしないでください」とチームは警告した。

Trezorユーザーが今すぐ行うべきこと

• Trezorから届いた予期しないメール、特にSTM32やエントロピーに言及したメールのリンクをクリックしないでください。
• ウェブサイトにリカバリーフレーズやデバイスのパスコードを絶対に入力しないでください。
• 確認が取れるまで、身に覚えのない電話や物理的な手紙は疑わしいものとして扱ってください。
• 正規の更新情報については、trezor.ioまたはX上の認証済みTrezorアカウントを参照してください。
• リンクされたページにバックアップを入力した人は、新しいウォレットに資金を移してください。

漏えいした連絡先情報と正規の送信元ドメインが組み合わさることで、この攻撃は、ユーザーが頼りにしてきた通常の警告サインを取り除いている。

今、ハードウェアウォレット企業から説得力のあるフィッシングメールが送られています（少なくともTrezorとBitboxについて聞いています）。マーケティングメールプロバイダーが侵害された可能性が高いです。それはより多くの顧客メールが漏えいすることを意味します。

警戒を怠らず、プロバイダーを信頼しないでください… pic.twitter.com/jHtdRE9S2A

— Nick Neuman (@Nneuman) September 9, 2026

今後は、Trezorが関与したプロバイダーを公表するかどうか、そして何件のメールアドレスが漏えいしたかにかかっている。