Wprowadzenie do problemu / definicja
Phishing pozostaje jednym z najgroźniejszych zagrożeń dla użytkowników kryptowalut, zwłaszcza gdy przestępcy uzyskują dostęp do zaufanych kanałów komunikacji wykorzystywanych przez rozpoznawalne marki. Najnowszy incydent dotyczący Trezor pokazuje, że naruszenie bezpieczeństwa u zewnętrznego dostawcy usług mailingowych może szybko przerodzić się w szeroko zakrojoną kampanię podszywania się pod producenta portfeli sprzętowych.
W tym przypadku celem atakujących było skłonienie odbiorców do podjęcia działań pod presją rzekomego zagrożenia bezpieczeństwa. Tego typu operacje są szczególnie niebezpieczne, ponieważ wykorzystują jednocześnie zaufanie do marki, poczucie pilności oraz niewiedzę użytkowników dotyczącą bezpiecznego procesu odzyskiwania portfela.
W skrócie
Trezor poinformował, że kampania phishingowa objęła około 347 tys. adresów e-mail znajdujących się w bazie newsletterowej firmy. Źródłem problemu był incydent bezpieczeństwa po stronie Brevo, zewnętrznego dostawcy obsługującego komunikację mailingową.
Napastnicy rozsyłali wiadomości podszywające się pod alerty bezpieczeństwa i nakłaniali użytkowników do pobrania złośliwej aplikacji oraz wpisania danych odzyskiwania portfela. Według ujawnionych informacji około 2,5 tys. odbiorców kliknęło złośliwy odnośnik przed jego zablokowaniem.
- objęto około 347 tys. adresów e-mail,
- atak wykorzystał incydent u dostawcy zewnętrznego,
- wiadomości podszywały się pod komunikaty bezpieczeństwa Trezor,
- celem było wyłudzenie frazy odzyskiwania portfela,
- część użytkowników kliknęła link przed jego dezaktywacją.
Kontekst / historia
Incydent rozpoczął się 9 września 2026 roku, gdy doszło do naruszenia bezpieczeństwa platformy Brevo. Skutkiem zdarzenia było uzyskanie przez nieuprawniony podmiot możliwości wykorzystania kont klientów tego dostawcy do wysyłki wiadomości, co przełożyło się na działania wymierzone również w odbiorców Trezor.
Znaczenie tego przypadku wynika z charakteru przejętej lub wykorzystanej infrastruktury. Adresaci należeli do bazy użytkowników, którzy wcześniej zapisali się na newsletter lub komunikację marketingową, a więc byli przyzwyczajeni do otrzymywania wiadomości od marki. Taki kontekst istotnie zwiększa skuteczność oszustwa, ponieważ fałszywy e-mail nie musi przełamywać początkowej bariery zaufania.
Zdarzenie wpisuje się także w szerszy trend zagrożeń związanych z łańcuchem dostaw cyfrowych. Organizacje coraz częściej polegają na dostawcach SaaS w obszarach marketingu, obsługi klienta i powiadomień, przez co atak na partnera technologicznego może stać się pośrednią drogą do przeprowadzenia skutecznej kampanii przeciwko końcowym użytkownikom.
Analiza techniczna
Mechanizm ataku miał charakter klasycznej kampanii phishingowej, ale został dopracowany pod kątem wiarygodności. Wiadomości informowały o rzekomej krytycznej luce dotyczącej mikrokontrolera STM32 stosowanego w urządzeniach Trezor. Użycie technicznego szczegółu miało nadać komunikatowi pozory autentyczności oraz wywołać wrażenie, że konieczna jest natychmiastowa reakcja.
Scenariusz ataku przebiegał wieloetapowo. Użytkownik otrzymywał wiadomość e-mail wyglądającą jak legalny alert bezpieczeństwa. Następnie po kliknięciu odnośnika trafiał do infrastruktury kontrolowanej przez napastników. Kolejnym krokiem było nakłanianie do pobrania aplikacji, która rzekomo miała rozwiązać problem bezpieczeństwa lub ochronić środki użytkownika.
Ostatecznym celem operacji nie było samo zainfekowanie urządzenia, lecz pozyskanie najcenniejszego sekretu użytkownika, czyli frazy odzyskiwania portfela. Jeśli ofiara ujawni seed lub inną formę backupu, przestępcy mogą odtworzyć portfel na własnym urządzeniu lub w kompatybilnym oprogramowaniu i przejąć aktywa bez dalszego dostępu do systemów ofiary.
Trezor wskazał, że wykorzystywana domena phishingowa została zablokowana w ciągu około 20 minut od wykrycia. Choć szybka reakcja ograniczyła skalę kampanii, sam fakt wykorzystania legalnego kanału komunikacji pokazał, jak trudno bronić się przed atakami opartymi na nadużyciu zaufania do znanej marki.
Konsekwencje / ryzyko
Największym zagrożeniem dla użytkowników jest utrata środków kryptowalutowych w wyniku ujawnienia frazy odzyskiwania. W przeciwieństwie do tradycyjnych usług finansowych, cofnięcie skutków takiego incydentu bywa bardzo trudne, a często wręcz niemożliwe, ponieważ przejęte aktywa mogą zostać szybko przetransferowane między portfelami kontrolowanymi przez przestępców.
Ryzyko nie kończy się jednak na pojedynczej kampanii. Sama baza adresów e-mail może zostać wykorzystana ponownie w kolejnych falach phishingu, spear phishingu, oszustwach podszywających się pod wsparcie techniczne albo kampaniach wielokanałowych obejmujących SMS-y i komunikatory.
Istotne są również konsekwencje reputacyjne. Użytkownicy oczekują, że dostawcy rozwiązań do ochrony aktywów cyfrowych zabezpieczą nie tylko własną infrastrukturę, lecz także cały ekosystem partnerów mających dostęp do danych kontaktowych i kanałów komunikacji. Każdy taki incydent może skutkować spadkiem zaufania oraz presją na zaostrzenie kontroli nad podwykonawcami.
Rekomendacje
Organizacje działające w sektorze kryptowalut powinny traktować platformy mailingowe i marketing automation jako element krytyczny łańcucha dostaw. Oznacza to konieczność wdrożenia silnego uwierzytelniania, ograniczania uprawnień, monitorowania nietypowych kampanii i przygotowania procedur natychmiastowego wstrzymania wysyłki po wykryciu anomalii.
Warto również rozdzielić komunikację marketingową od kanałów wykorzystywanych do powiadomień bezpieczeństwa. Komunikaty o incydentach powinny być publikowane w kilku oficjalnych miejscach jednocześnie, z jasno określonymi metodami potwierdzania autentyczności. Takie podejście utrudnia napastnikom skuteczne wykorzystywanie fałszywych alertów.
Po stronie użytkowników najważniejsza zasada jest niezmienna: frazy odzyskiwania nie wolno wpisywać do aplikacji lub formularza otwartego z linku otrzymanego e-mailem. Seed powinien być używany wyłącznie w kontrolowanym procesie przywracania portfela i nigdy nie może być przekazywany rzekomemu wsparciu technicznemu ani narzędziom sugerowanym w wiadomościach alarmowych.
- weryfikować alerty bezpieczeństwa wyłącznie w oficjalnych kanałach producenta,
- unikać instalowania aplikacji z odnośników przesłanych w wiadomościach e-mail,
- korzystać z ochrony poczty i mechanizmów antyphishingowych,
- szkolić użytkowników z rozpoznawania presji czasu i technik socjotechnicznych,
- regularnie oceniać ryzyko związane z dostawcami zewnętrznymi.
Podsumowanie
Incydent związany z Trezor i Brevo pokazuje, że skuteczna kampania phishingowa nie wymaga bezpośredniego przełamania głównej infrastruktury producenta. Wystarczy kompromitacja lub nadużycie zaufanego partnera obsługującego komunikację z klientami, aby uzyskać wysoką skuteczność ataku.
Dla całej branży kryptowalut to kolejny sygnał ostrzegawczy. Ochrona użytkownika musi obejmować nie tylko urządzenie, aplikację i klucze prywatne, ale również cały ekosystem komunikacji, marketingu oraz usług stron trzecich, które mogą stać się dogodnym punktem wejścia dla cyberprzestępców.
Źródła
- Trezor: 347,000 users targeted in phishing attacks after Brevo breach — https://www.bleepingcomputer.com/news/security/trezor-347-000-users-targeted-in-phishing-attacks-after-brevo-breach/