目錄

• 你可能想知道
• 主要主題
• 重點摘要表
• 後續...

你可能想知道

Trezor 的官方網域是否被直接入侵，或攻擊者是否利用第三方電子郵件服務冒充該公司？

BitBox 用戶收到的類似釣魚郵件是否表示多家硬體錢包的電子郵件供應商遭到更廣泛的入侵？

主要主題

Trezor，一家知名的硬體錢包製造商，在透過被入侵的第三方電子郵件供應商傳播釣魚活動後，向其用戶發出警示。惡意郵件冒稱為一則名為「關鍵安全警報：STM32 熵漏洞」的緊急安全通告，警告某些裝置所使用的 STM32 微控制器存在假定的硬體層級缺陷。該詐騙警報聲稱漏洞影響大約 四分之一的裝置，並暗示裝置的復原憑詞可能存在隨機性或熵不足的問題。此類說法旨在利用加密貨幣社群近期對硬體錢包漏洞的擔憂，並促使收件人點擊連結或遵循指示，可能導致憑證被竊取或其他妥協。

Trezor 在其社交媒體上發布的回應強調該郵件並非源自公司，並敦促用戶不要點擊任何連結。公司表示已下架至少一個用於該詐騙的域名，並正在調查攻擊者如何存取看似合法的發件基礎設施。雖然初步報告指出郵件似乎來自 Trezor 地址並通過了標準電子郵件驗證檢查（DKIM/SPF/DMARC），調查人員與安全研究人員警告說，成功的驗證並不一定證明公司本身遭到入侵；相反，可能是第三方行銷或郵件服務供應商被劫用，以代表攻擊者發送惡意活動。

監控該事件的資安從業人員指出了若干令人擔憂的跡象。多位收件人收到的釣魚郵件其標頭與回郵路徑使郵件看起來真實。安全專家的公開貼文報告說，此活動提及 Sendinblue 活動，並使用與合法行銷供應商一致的寄信域名元素。這種模式提高了威脅方已取得某行銷電子郵件帳號控制權或濫用供應商發送基礎設施的可能性。回應此事，一些資安專業人士警告用戶對供應商發出的郵件保持懷疑，特別是當郵件透過連結要求立即採取行動或要求透過非官方管道更新軟體時。

社群與業界人士將此事與其他近期事件連結起來。資安研究人員與錢包業界領袖觀察到，BitBox 等其他硬體錢包品牌的用戶也曾回報類似的詐騙訊息。這些報告顯示攻擊者可能以一或多家處理多個硬體錢包廠商通訊的廣泛使用電子郵件服務供應商為目標。如果多家廠商的郵件名單可透過單一被入侵的供應商存取，攻擊者便可以利用共用的基礎設施或洩漏的聯絡名單，製作看似來自不同硬體錢包公司的客製化訊息。

歷史脈絡也強化了這類活動為何有效。今年早些時候，硬體錢包生態系面臨真實的漏洞與高調的資料外洩：研究人員披露了影響某些 Coldcard 裝置的缺陷，運輸或物流供應商的入侵也曝光了其他錢包公司的客戶資料。攻擊者經常在合法揭露之後利用用戶焦慮，製作仿冒的通告來模仿廠商的語氣與內容。藉由引用技術術語——例如 STM32 微控制器與復原憑詞中的熵——攻擊者提升了表面上的可信度，並對收件人施加壓力，使其在未經核實的情況下採取行動。

從營運角度來看，此事件凸顯了供應商與用戶應考量的數個面向。依賴第三方行銷或郵件平台的廠商，應強制實施嚴格的存取管控、多因素驗證、定期的憑證輪換，並監控不尋常的發送行為。廠商也應維持並廣為宣傳明確且可驗證的緊急安全通告管道（例如官方網站上的專門安全頁面、簽名通告、PGP/GPG 簽章，或透過已知的經過驗證的社交帳號發布的訊息）。用戶應透過那些官方管道來驗證安全通知，而不是點擊來自意外郵件中的連結，並應向廠商支援或公開聲明確認可疑主張。

在本案中，Trezor 再次重申並未發布與該釣魚郵件相符的官方通告，並建議用戶保持謹慎。資安專家也呼應了相關建議並提出額外的防護措施：不要使用可疑郵件中的連結來更新韌體或輸入復原憑詞；取而代之，請諮詢廠商的官方支援資源。用戶應將任何聲稱嚴重密碼學弱點的郵件視為可疑，直到可由獨立來源或廠商的已驗證通訊加以證實為止。

最後，這一事件凸顯了針對加密貨幣領域攻擊者策略的不斷演變。攻擊者並非在每起事件中都直接利用裝置層級的漏洞，經常是利用社交工程管道——被入侵的郵件名單、冒充廠商或洩露的客戶資料——來製造高影響力攻擊，可能導致重大財務損失。強化通訊供應鏈的安全並教育用戶驗證程序，是減少此類活動有效性的重要步驟。

重點摘要表

後續...

展望未來，此事件強調了在廠商通訊供應鏈中建立多層防禦的必要性。硬體錢包製造商應將第三方郵件平台視為關鍵基礎設施，並對其施加相稱的安全控管。對終端用戶而言，培養驗證習慣——檢查廠商網站、以多個受信任來源相互佐證，並絕不因未經請求的訊息而輸入復原憑詞——將降低此類攻擊的成功率。業界合作以識別被入侵的供應商並分享妥協指標，也有助於更快遏止類似攻擊。隨著攻擊者持續演化，廠商與用戶都必須保持警惕，並優先以安全且可驗證的管道發布所有安全相關通訊。