两家硬件钱包制造商的自有邮箱系统沦为网络钓鱼武器

Trezor 确认第三方邮箱服务商遭入侵，攻击者利用其真实域名发送钓鱼邮件

9月9日，Trezor 官方证实，其合作的第三方电子邮件服务商遭到黑客入侵。这一漏洞使得攻击者能够利用 Trezor 的真实域名发送钓鱼邮件，从而极大地增加了用户识别虚假信息的难度。

这些伪造的邮件主题被设定为“关键安全警报：STM32 熵漏洞”，旨在诱导收件人点击其中的链接。值得注意的是，STM32 是 Trezor 硬件钱包中使用的微控制器芯片，攻击者特意选择此类标题，意在让安全意识较强的用户误以为这是必须立即处理的安全警告。

Trezor 在 X（原推特）平台上发布声明澄清：“请注意，名为‘关键安全警报：STM32 熵漏洞’的邮件并非来自我们，这是一次钓鱼尝试。请勿点击任何链接。”目前，Trezor 已下线受影响的域名，并正在展开深入调查。

同日，竞争对手 BitBox 也报告称，其用户遭遇了几乎相同的钓鱼攻击浪潮。这一现象暗示，攻击者可能针对整个硬件钱包行业发起了协调一致的攻势，或者在发现某一种钓鱼模板成功后，将其复制并应用于多个目标。

这并非 Trezor 今年首次因第三方服务商遭入侵而陷入困境。早在8月，其物流供应商 ShipMonk 发生数据泄露事件，最初导致约1.37万名客户的个人信息暴露，随后影响范围扩大至另外6.7万名美国客户。

短短一个月内连续两次遭遇不同供应商的安全事故，揭示了一个深层问题：尽管硬件钱包本身具备密码学级别的安全性，但公司日常运营中的第三方服务商（如物流和邮件服务）往往成为更为脆弱的突破口。