Usuários de carteiras de criptomoedas da Trezor estão sendo alvo de uma nova onda de ataques de phishing após um incidente de segurança envolvendo a empresa responsável pelo envio das newsletters da fabricante. O caso expõe um dos principais problemas de segurança do ecossistema de criptomoedas: mesmo quando a carteira em si permanece protegida, dados armazenados por empresas terceirizadas podem ser utilizados para enganar os clientes.
A Trezor confirmou que um ataque contra a Brevo, plataforma utilizada para o envio de campanhas de e-mail, permitiu que criminosos enviassem mensagens fraudulentas para aproximadamente 347 mil endereços associados à empresa. Segundo a fabricante, os sistemas internos da Trezor, seus dispositivos e as contas dos usuários não foram invadidos diretamente.
O problema, porém, é que os criminosos conseguiram utilizar a infraestrutura legítima de comunicação para distribuir uma mensagem que aparentava ser um alerta oficial de segurança. Isso aumentou consideravelmente o potencial de sucesso da fraude.
E-mail falso simulava alerta crítico de segurança
A campanha utilizou uma mensagem com o assunto “Critical Security Alert: STM32 Entropy Vulnerability”. O conteúdo afirmava que determinados dispositivos Trezor poderiam apresentar uma suposta vulnerabilidade relacionada à geração de números aleatórios utilizada na criação das carteiras.
A mensagem dizia que o problema poderia comprometer a segurança das chamadas frases de recuperação, também conhecidas como seed phrases. O objetivo era provocar medo e fazer com que a vítima tomasse uma decisão impulsiva para “proteger” os seus ativos.
O e-mail direcionava o usuário para um site malicioso. De acordo com a Trezor, o link poderia levar ao download de um aplicativo que solicitava o backup da carteira. Essa informação é extremamente importante porque a frase de recuperação funciona, na prática, como a chave que permite recuperar e controlar os ativos armazenados em uma carteira.
Se um criminoso obtiver essa informação, ele pode assumir o controle da carteira e transferir as criptomoedas para outro endereço. Como as transações em blockchain normalmente não podem ser desfeitas, a recuperação dos valores roubados pode ser praticamente impossível.
Ataque explorou uma empresa terceirizada
A Brevo, empresa responsável pelo serviço de comunicação utilizado pela Trezor, informou que o incidente atingiu inicialmente 120 contas. Posteriormente, a empresa informou que os invasores conseguiram acessar 138 contas e utilizaram esse acesso para distribuir mensagens de phishing em grande escala.
Segundo a Brevo, o problema estava relacionado à forma como as permissões de acesso foram configuradas. O acesso obtido pelos invasores não ficou devidamente limitado às organizações que deveriam estar disponíveis para aquela conta, permitindo que os criminosos alcançassem diferentes clientes da plataforma.
Esse tipo de incidente mostra por que empresas podem enfrentar problemas mesmo quando seus próprios servidores não são comprometidos. Serviços de marketing, hospedagem, logística, atendimento ao cliente e processamento de pagamentos frequentemente armazenam informações de consumidores ou possuem algum nível de acesso à infraestrutura das empresas.
No caso da Trezor, a empresa afirma que nenhum produto, carteira ou sistema de contas foi comprometido diretamente.
Aproximadamente 347 mil endereços foram envolvidos
A Trezor informou que sua base de newsletters tinha aproximadamente 347 mil endereços de e-mail. Esses usuários receberam a campanha fraudulenta ou fazem parte da base que poderia ser utilizada pelos invasores.
A empresa retirou o domínio utilizado no golpe em aproximadamente 20 minutos. De acordo com a Trezor, cerca de 2.500 pessoas chegaram a clicar no link antes que ele fosse desativado. A companhia também interrompeu o envio de mensagens pelo serviço comprometido.
O número de pessoas que tiveram apenas o endereço de e-mail exposto não significa que todas tiveram suas criptomoedas ameaçadas. O principal risco está na utilização dessas informações para campanhas de engenharia social.
Com um endereço válido de um cliente Trezor, um criminoso pode criar mensagens muito mais convincentes. Em vez de enviar um golpe genérico para milhões de pessoas, pode apresentar uma comunicação que menciona diretamente a fabricante da carteira que a vítima utiliza.
Nem sempre um e-mail falso parece falso
Um dos aspectos mais perigosos desse tipo de ataque é a possibilidade de a mensagem utilizar uma infraestrutura legítima.
Normalmente, filtros de e-mail verificam mecanismos de autenticação para identificar mensagens falsificadas. Porém, nesse caso, os criminosos obtiveram acesso ao sistema utilizado pela própria Trezor para enviar suas comunicações.
Isso significa que a mensagem poderia apresentar características que normalmente ajudariam a indicar que um e-mail é legítimo. O problema não estava simplesmente em falsificar o endereço do remetente, mas em utilizar um serviço autorizado para enviar a comunicação.
O The Register destacou justamente esse aspecto do ataque: mensagens enviadas através de um canal legítimo podem escapar de algumas das barreiras utilizadas pelos sistemas antispam.
Por isso, verificar apenas o endereço do remetente não é suficiente para determinar se uma mensagem relacionada a criptomoedas é segura.
Trezor já havia enfrentado outro vazamento
O novo incidente ocorre poucas semanas depois de outro problema envolvendo uma empresa terceirizada da Trezor.
Em agosto, a fabricante informou que a ShipMonk, empresa responsável por serviços de logística e distribuição, havia sofrido um vazamento de dados. A investigação posteriormente apontou que o incidente atingiu aproximadamente 80.689 clientes.
Entre os dados expostos estavam nomes, endereços de e-mail, números de telefone e endereços utilizados para entrega dos produtos.
A situação é particularmente preocupante no setor de criptomoedas porque os dados podem revelar não apenas a identidade de uma pessoa, mas também que ela provavelmente possui uma carteira física para armazenar ativos digitais.
Essas informações podem ser utilizadas em golpes por e-mail, telefone e correspondência física. Em situações mais graves, especialistas alertam para o risco de ataques físicos conhecidos como “wrench attacks”, nos quais criminosos tentam obrigar a vítima a entregar informações ou acesso às suas criptomoedas.
Outros usuários de criptomoedas também foram afetados
O problema não ficou restrito aos clientes da Trezor. Outras empresas do setor também identificaram campanhas semelhantes depois do comprometimento da plataforma de e-mail.
Empresas como BitBox e CoinTracking também alertaram usuários sobre mensagens de phishing enviadas por meio de serviços relacionados a newsletters. A situação sugere que os criminosos não estavam interessados exclusivamente na base de clientes da Trezor, mas aproveitaram o acesso obtido para atingir diferentes empresas que utilizavam a mesma infraestrutura.
Esse cenário reforça uma tendência crescente nos ataques contra empresas de tecnologia: criminosos procuram fornecedores que concentram dados ou possuem acesso a várias organizações ao mesmo tempo.
Em vez de invadir diretamente uma grande empresa, pode ser mais vantajoso atacar um fornecedor menor que tenha conexões com dezenas ou centenas de clientes.
O que os usuários devem fazer
A principal recomendação para usuários da Trezor é não fornecer, sob nenhuma circunstância, a frase de recuperação da carteira por e-mail, site ou aplicativo.
A própria empresa afirma que nunca solicita o backup da carteira aos usuários. A frase de recuperação deve permanecer sob controle exclusivo do proprietário e não deve ser digitada em páginas abertas por links recebidos em mensagens.
Quem recebeu um e-mail suspeito deve evitar clicar nos links e excluir a mensagem. Também é recomendável acessar o site oficial da empresa digitando o endereço diretamente no navegador, em vez de utilizar links recebidos por e-mail.
Caso alguém tenha informado a frase de recuperação em um site ou aplicativo após seguir uma dessas mensagens fraudulentas, a situação é considerada de alto risco. A Trezor recomenda transferir imediatamente os ativos para uma nova carteira.
Por outro lado, a empresa afirma que simplesmente clicar no link, sem fornecer a frase de recuperação, não significa automaticamente que os fundos tenham sido comprometidos.
O caso mostra que a segurança vai além da carteira
Carteiras físicas são consideradas uma das formas mais seguras de armazenar criptomoedas porque mantêm as chaves privadas afastadas da internet durante grande parte do tempo. Entretanto, o caso da Trezor demonstra que proteger o dispositivo não é suficiente.
Informações utilizadas para identificar clientes também possuem valor para criminosos. Um simples endereço de e-mail pode ser o ponto de partida para uma campanha de phishing. Quando combinado com nome, telefone e endereço residencial, o risco pode aumentar significativamente.
A Trezor informou que está reavaliando seus relacionamentos com fornecedores e os requisitos de segurança exigidos dessas empresas após os incidentes recentes. A companhia também alertou que os endereços de e-mail dos clientes podem continuar sendo utilizados em futuras tentativas de fraude.
O episódio serve como um alerta para todo o mercado de criptomoedas: não basta manter a carteira protegida. Usuários também precisam desconfiar de mensagens inesperadas, especialmente aquelas que criam sensação de urgência e solicitam frases de recuperação, senhas ou outras informações capazes de dar acesso aos seus ativos.
Em um ambiente no qual uma única informação pode permitir a perda definitiva de grandes quantias, a regra continua sendo simples: nenhuma empresa legítima deve pedir a frase de recuperação da sua carteira.
