Majitelům Trezoru dorazil e-mail, který se tváří jako naléhavé varování před chybou hardwaru. Tvrdí, že jejich peněženka nemusí být bezpečná, a nabízí rychlé ověření. Právě tlačítko pro tuto údajnou kontrolu je ale součástí podvodu.
Kontrola adresy mailu, ze které vám to dorazilo, tentokrát nestačila! Napadena byla služba rozesílající maily. Takže adresa seděla. Na tlačítko neklikejte.
Zpráva působí poměrně přesvědčivě. Údajný technický tým se omlouvá za chybu v čipech STM32, která má postihovat přibližně každý čtvrtý přístroj. Ohrožená mají být hlavně zařízení nastavená před rokem 2023, ale ani novější prý nejsou nutně v bezpečí.
Podvodníci tvrdí, že chyba způsobuje nedostatečnou náhodnost při vytváření seedu, tedy obnovovací fráze k peněžence. Zmiňují pouhých 40 bitů entropie a možnost frázi prolomit výpočetní silou. To jsou tvrzení podvodného e-mailu, nikoli potvrzený nález chyby v Trezoru.
Pozor hlavně na tlačítko pro kontrolu
V e-mailu nechybí ani známá bezpečnostní rada: obnovovací frázi nikdy nezadávejte na webu a nikomu ji nesdělujte. Jenže hned pod ní je tlačítko „Check to see if you’re affected“, tedy „Ověřte, zda se vás problém týká“.
Na toto tlačítko neklikejte. Slibovaná kontrola má příjemce dostat na stránku podvodníků. Zpráva navíc nabádá, aby při zablokování odkazu e-mailovým klientem použili možnost „View in browser“. Ani touto cestou nepokračujte.
Trezor potvrdil napadení externího poskytovatele e-mailových služeb a před zprávou varoval na X. Samotné peněženky, soukromé klíče ani jejich zálohy podle vyjádření firmy citovaného serverem zasaženy nebyly. Známá doména v odkazu ani důvěryhodný vzhled e-mailu ale tentokrát nejsou zárukou bezpečí.
Aktuální informace si ověřte přímo na webu Trezoru, jehož adresu zadáte sami. Pokud jste už obnovovací frázi na podvodné stránce vyplnili, považujte ji za prozrazenou a přesuňte zbývající prostředky do nové peněženky s novým, bezpečně vytvořeným seedem. Samotná změna PINu problém neřeší.
Související: Dřívější únik zákaznických dat u logistického partnera Trezoru ShipMonk.