הכותרת של המייל הבטיחה התראת אבטחה קריטית: חולשה ברכיב STM32, השבב שמנהל את ארנק החומרה של Trezor, שמאפשרת לכאורה לשחזר בכוח את מילות הגיבוי של הארנק. מי שלחץ על הקישור הגיע להורדה של אפליקציה שביקשה להקליד בה בדיוק את אותן מילים. החולשה הזאת לא קיימת. המייל, לעומת זאת, באמת יצא מהמערכת שדרכה Trezor שולחת את הדיוורים שלה.

מה קרה

ב-9 בספטמבר נכנסו תוקפים לפלטפורמת הדיוור Brevo, שירות חיצוני שחברות שולחות דרכו ניוזלטרים ללקוחות. לפי Brevo, הגישה שהתוקפים השיגו לא הוגבלה כמו שצריך, כך שחשבון פרוץ אחד פתח את הדרך לכל הארגונים שהוא יכול היה להגיע אליהם. Trezor מדברת על 120 חשבונות לקוח שנפגעו ב-Brevo, ו-TechCrunch מדווח על 138. מחשבון הדיוור של Trezor יצאה ההתראה המזויפת לכ-347 אלף כתובות של נרשמים לניוזלטר.

הסיבה שההודעה עברה חלק היא שהיא לא הייתה זיוף. כששרת דואר מקבל הודעה הוא בודק אם היא יצאה משרת שמורשה לשלוח בשם הדומיין trezor.io ואם החתימה הדיגיטלית שנלוותה אליה תקפה, ושתי הבדיקות האלה הן מה שמפיל את רוב ניסיונות ההתחזות. קוראים להן SPF ו-DKIM. כאן הן עברו, כי ההודעה נשלחה מהמערכת המורשית עצמה ותחת החשבון של החברה.

Trezor זיהתה את הדומיין המזויף והשתיקה אותו בתוך כ-20 דקות, ואז השעתה את חשבון ה-Brevo שלה. בפרק הזמן הזה כ-2,500 אנשים כבר לחצו על הקישור. החברה מדגישה שאף מוצר, ארנק או מערכת שלה לא נפרצו, ושכספים של מי שלא הקליד את הגיבוי שלו מחוץ למכשיר נשארו במקומם. כמה אנשים כן הקלידו, וכמה כסף נעלם, לא פורסם. לפי BleepingComputer נפגעו מאותה פריצה ב-Brevo גם היצרנית המתחרה BitBox ושירות המעקב CoinTracking.

למה זה חשוב לכם

ארנק חומרה נבנה סביב כלל אחד: מילות הגיבוי, רצף של 12 או 24 מילים שמשחזר את הארנק כולו, לא יוצאות מהמכשיר הפיזי. מי שמקליד אותן במסך של מחשב או טלפון מוסר בפועל את כל הכסף, והעברה בקריפטו לא ניתנת לביטול ואין בנק שישחזר אותה. זאת בדיוק הסיבה שקמפיין כזה מכוון לבעלי ארנקי חומרה.

הנקודה הרחבה יותר נוגעת גם למי שאין לו קריפטו. כתובת המייל שלכם יושבת אצל ספקים שאתם לא בחרתם, ולא צריך לגעת בחברה שסמכתם עליה כדי לשלוח בשמה: מספיק שנפרץ שירות הדיוור שלה, וההודעה שתגיע אליכם תיראה אותנטית וגם תיבדק כאותנטית. אצל Trezor זה קרה פעמיים בתוך כמה שבועות דרך שני ספקים שונים, אחרי שפרטי ההזמנות של לקוחותיה דלפו אצל חברת המשלוחים ShipMonk.

מה עושים?

אל תקלידו את מילות הגיבוי של הארנק באף מקום מלבד המכשיר עצמו. אין תקלה ואין עדכון חירום שמצדיקים הקלדה שלהן באפליקציה או באתר.

אם כבר הקלדתם אותן, העבירו את הכספים עכשיו לארנק חדש עם גיבוי חדש. הארנק הקודם חשוף מהרגע הזה והלאה.

קיבלתם התראה דחופה על חולשה בחומרה או בחשבון? אל תלכו דרך הקישור שבמייל. פתחו דפדפן, הקלידו בעצמכם את כתובת האתר הרשמי, ובדקו אם ההודעה מופיעה גם שם.

אם נרשמתם פעם לעדכונים של יצרנית ארנקים או של בורסת קריפטו, הניחו שהכתובת שלכם נמצאת ברשימה של אנשים שמחזיקים קריפטו, וצפו לעוד ניסיונות מאותו סוג.

בדיקות הזיהוי של הדואר עונות על השאלה אם ההודעה יצאה מהמקום שהיא מתיימרת לצאת ממנו. הן לא עונות על השאלה אם מי שכתב אותה התכוון לטובתכם.