Trezor memperingatkan adanya email phishing yang telah dikirim dari domain resminya akibat pelanggaran keamanan pihak ketiga.
Ini menyusul pelanggaran keamanan bulan lalu di perusahaan penyedia pengiriman ShipMonk, yang mengekspos data pribadi pelanggan Trezor.
Produsen dompet perangkat keras Trezor mengatakan penyedia email pihak ketiganya telah dibobol, sehingga email phishing dapat dikirim dari domain resminya.
"Harap waspada bahwa email bernama 'Critical Security Alert: STM32 Entropy Vulnerability' tidak berasal dari kami, dan itu adalah upaya phishing. Jangan klik tautan apa pun," tulis Trezor dalam postingan di X pada Rabu.
Trezor mengatakan sejak itu pihaknya telah menurunkan domain tersebut dan sedang menyelidiki situasinya, termasuk bagaimana para peretas bisa menggunakan domain resminya untuk email phishing.
Pada hari yang sama, BitBox, perusahaan dompet kripto Swiss 
BTC-0,50%
pembuat dompet perangkat keras,melaporkan adanya email phishing serupa yang beredar dengan penyamarannya.
Marcello Paz, seorang komentator kripto dengan nama pengguna X "MHPaz," mengatakan ia menerima email phishing tersebut, sambil membagikan tangkapan layar yang menunjukkan bahwa email itu meminta pelanggan memperbarui dompet perangkat keras mereka karena adanya kerentanan "kritis" yang dapat memengaruhi perangkat yang lebih baru. Kredensial email menampilkan nama domain dan tanda tangan resmi, berbeda dengan email phishing biasa yang menggunakan alamat yang mirip tetapi palsu.
Bukan yang pertama
Bulan lalu, Trezor mengungkapkan insiden keamanan besar di mana pelanggaran di penyedia pengirimannya, ShipMonk, mengekspos informasi pribadi pelanggan. Sementara Trezor awalnya mengatakan sekitar 13.700 pelanggan namanya, kota, dan alamat emailnya bocor, perusahaan itu mengatakan pada awal bulan ini bahwa 67.000 pelanggan AS lainnya terdampak oleh pelanggaran yang sama.
Pada bulan Juni, tim riset keamanan Donjon dari Ledger mengungkapkan kerentanan perangkat keras pada chip TROPIC01 yang digunakan di dalam Trezor Safe 7, yang menunjukkan serangan laser berbasis lab yang melewati sistem verifikasi firmware chip tersebut. Trezor mengatakan saat itu tidak ada dana pengguna yang berisiko.
Pelanggaran Ledger pada 2020 mengekspos informasi milik lebih dari 270.000 pelanggan, termasuk nama, alamat email, nomor telepon, dan, dalam beberapa kasus, alamat rumah yang kemudian dipublikasikan di forum peretasan. Pelanggan Ledger terus melaporkan bahwa mereka menerima panggilan telepon penipuan dan surat fisik bertahun-tahun kemudian.
