Крупная фишинговая атака затронула 347 000 подписчиков новостной рассылки аппаратных кошельков Trezor. Инцидент стал возможен из-за уязвимости в сторонней маркетинговой платформе Brevo, которую Trezor использует для коммуникации со своей аудиторией. Злоумышленникам удалось скомпрометировать учетную запись компании, что позволило им рассылать письма, успешно проходившие все проверки подлинности отправителя.
Детали атаки и методы злоумышленников
Инцидент произошел 9 сентября 2026 года. Письма с темой «Critical Security Alert: STM32 Entropy Vulnerability» рассылались с адреса no-reply@trezor.io. В сообщениях утверждалось, что аппаратные кошельки Trezor содержат уязвимость в микроконтроллерах STM32, которая якобы позволяет злоумышленникам подобрать сид-фразы методом брутфорса. Пользователей призывали скачать специальное приложение, которое под предлогом защиты запрашивало данные для восстановления кошелька.
Компания Trezor обнаружила активность и через 20 минут заблокировала домен, использовавшийся в атаке, на уровне DNS. К этому моменту около 2500 человек перешли по вредоносной ссылке. По заявлению производителя, в скомпрометированном аккаунте Brevo хранились только адреса электронной почты подписчиков, данные о самих кошельках или другие личные сведения затронуты не были. Тем не менее в Trezor подчеркнули, что считают базу из 347 000 адресов скомпрометированной и потенциально доступной для будущих атак.
Уязвимость в платформе Brevo
Специалисты Brevo установили, что причиной взлома стал сбой в работе механизма единого входа (SSO). Злоумышленники создали свой аккаунт на платформе, активировали в нем SSO и пригласили реальных пользователей, после чего смогли авторизоваться от их имени через стороннего провайдера идентификации. Ошибка в разграничении прав доступа позволила атакующим получить доступ ко всем организациям, связанным с этими пользователями. Всего от инцидента пострадало 138 аккаунтов клиентов Brevo. Помимо Trezor, атаке подверглись компания BitBox и платформа CoinTracking, однако они не сообщали о потере средств или краже сид-фраз.
Рекомендации для пользователей
Trezor официально подтвердила, что не запрашивает сид-фразы по электронной почте или через сторонние приложения. Пользователям, которые ввели свои данные в загруженное по фишинговой ссылке приложение, настоятельно рекомендуется считать свой кошелек скомпрометированным. Необходимо немедленно перевести средства на новый, сгенерированный с нуля кошелек. В компании также предупредили, что пострадавшие подписчики находятся в группе риска, так как злоумышленники могут попытаться использовать украденные адреса для повторных атак через другие сервисы.
Предыдущие инциденты безопасности
Данный случай стал вторым крупным инцидентом для Trezor за последнее время. 13 августа 2026 года компания раскрыла подробности утечки данных из логистической службы ShipMonk. Атака была реализована через уязвимость типа SQL-инъекция в платформе Metabase (CVE-2026-72898) с максимальной оценкой опасности 10.0. Первоначально сообщалось о 13 689 пострадавших, но повторная проверка показала, что ShipMonk не удаляла старые записи, в результате чего пострадали еще 67 000 клиентов из США. Общее число затронутых инцидентом пользователей выросло до 81 000 человек. Ранее, в январе 2024 года, Trezor также столкнулась с несанкционированным доступом к порталу поддержки, что привело к раскрытию данных 66 000 пользователей, обращавшихся за помощью начиная с декабря 2021 года.
Механика взлома Brevo и масштаб последствий
Расследование Brevo показало, что инцидент не ограничился простой рассылкой спама. Из 138 скомпрометированных учетных записей клиентов в шести случаях злоумышленники использовали доступ для отправки фишинговых писем. Еще в 43 случаях хакерам удалось экспортировать списки контактов, а 93 аккаунта не продемонстрировали заметной активности (в Brevo не уточнили, пересекались ли эти категории между собой). Хотя такие компании, как BitBox и CoinTracking, оказались в числе затронутых, они подтвердили, что утечки средств или recovery-фраз в их инфраструктурах не зафиксировано.
В отношении Trezor представители платформы Brevo официально подтвердили: «Никакие другие системы Trezor не были затронуты». Тем не менее, компания-производитель аппаратных кошельков официально классифицировала всю базу из 347 000 адресов как «известную злоумышленникам и потенциально пригодную для многократного использования в будущих фишинговых кампаниях». Это означает, что подписчики должны проявлять повышенную бдительность в отношении любых сообщений, имитирующих бренд Trezor, так как риск повторных атак через альтернативные домены остается крайне высоким.
Детали инцидента с логистическим партнером ShipMonk
Утечка данных через сервис ShipMonk, ставшая известной 13 августа 2026 года, имела более серьезные последствия для международной аудитории, чем предполагалось изначально. В ходе расследования выяснилось, что ShipMonk нарушила условия контракта с Trezor, не удалив архивные записи, что привело к экспозиции персональных данных значительно большего числа пользователей.
Пострадавшие клиенты, чьи заказы были оформлены в период с 10 мая по 8 августа 2026 года, проживали в США, Великобритании, Швеции, Колумбии, Бразилии, Италии и Португалии. Однако из-за ошибки в архивации под удар попали еще 67 000 американских покупателей, совершавших заказы в период с ноября 2019 года по август 2021 года. Для этой группы оказались скомпрометированы:
- ФИО;
- адреса электронной почты;
- номера телефонов;
- адреса доставки;
- номера заказов.
Технически взлом ShipMonk произошел из-за критической уязвимости нулевого дня в аналитической платформе Metabase (CVE-2026-72898), имеющей максимальную оценку по шкале CVSS — 10.0. Атакующие использовали SQL-инъекцию для получения прав администратора в системе, что позволило им выгрузить базу данных клиентов. В дальнейшем ответственность за инцидент взяла на себя известная вымогательская группировка ShinyHunters, которая потребовала у ShipMonk выплаты выкупа за неразглашение украденной информации.
«Любой пользователь, который ввел сид-фразу или резервную копию кошелька в приложение, загруженное по фишинговой ссылке, должен считать свой кошелек скомпрометированным. Единственным верным шагом является немедленный перевод активов на новый, надежно сгенерированный кошелек», — напоминают эксперты по кибербезопасности.
