🚨Người dùng Trezor bị nhắm mục tiêu bởi một cuộc tấn công lừa đảo (phishing) đáng sợ sau khi bị xâm phạm bên thứ ba
$VTHO
Vào tháng 1 năm 2024, kẻ tấn công đã xâm nhập một cổng hỗ trợ bên thứ ba được Trezor sử dụng, làm lộ tên và email của tới 66.000 khách hàng đã liên hệ bộ phận hỗ trợ kể từ tháng 12 năm 2021. Không có quỹ hay cụm từ hạt giống (seed phrase) nào bị xâm phạm trực tiếp trong chính vụ xâm nhập đó, nhưng ít nhất 41 người dùng đã nhận được email lừa đảo trực tiếp từ kẻ tấn công, yêu cầu cung cấp thông tin khôi phục dạng seed một cách nhạy cảm. Vài ngày sau, một email giả mạo “noreply@trezor.io” đã đẩy một mưu lừa đảo “nâng cấp mạng” giả, được thiết kế để đánh cắp seed phrase — Trezor đã kịp vô hiệu hóa liên kết độc hại trước khi gây ra thiệt hại lớn. Các đợt phishing tương tự đã tái diễn kể từ đó (2022, 2023 và một lần nữa hơn một năm sau thông qua chính biểu mẫu liên hệ của Trezor). Kết luận rút ra nhất quán: thiết bị không hề bị hack, nhưng các kênh hỗ trợ/truyền thông của Trezor đã nhiều lần bị lạm dụng để lừa người dùng cung cấp seed khôi phục — thứ không bao giờ được nhập trực tuyến.
$VTHO
Vào tháng 1 năm 2024, kẻ tấn công đã xâm nhập một cổng hỗ trợ bên thứ ba được Trezor sử dụng, làm lộ tên và email của tới 66.000 khách hàng đã liên hệ bộ phận hỗ trợ kể từ tháng 12 năm 2021. Không có quỹ hay cụm từ hạt giống (seed phrase) nào bị xâm phạm trực tiếp trong chính vụ xâm nhập đó, nhưng ít nhất 41 người dùng đã nhận được email lừa đảo trực tiếp từ kẻ tấn công, yêu cầu cung cấp thông tin khôi phục dạng seed một cách nhạy cảm. Vài ngày sau, một email giả mạo “noreply@trezor.io” đã đẩy một mưu lừa đảo “nâng cấp mạng” giả, được thiết kế để đánh cắp seed phrase — Trezor đã kịp vô hiệu hóa liên kết độc hại trước khi gây ra thiệt hại lớn. Các đợt phishing tương tự đã tái diễn kể từ đó (2022, 2023 và một lần nữa hơn một năm sau thông qua chính biểu mẫu liên hệ của Trezor). Kết luận rút ra nhất quán: thiết bị không hề bị hack, nhưng các kênh hỗ trợ/truyền thông của Trezor đã nhiều lần bị lạm dụng để lừa người dùng cung cấp seed khôi phục — thứ không bao giờ được nhập trực tuyến.
