347 bin Trezor kullanıcısına oltalama e-postası: Brevo hesabı ele geçirildi

Donanım cüzdanı üreticisi Trezor'un yaklaşık 347 bin müşterisinin sahte güvenlik uyarısı e-postası aldığı doğrulandı. Saldırganlar, Trezor'un bülten göndermek için kullandığı e-posta sağlayıcısı Brevo'nun(Brevo) hesabı üzerinden kullanıcıları cüzdan yedekleme ifadesini girmeye yönlendirdi.

Trezor, 10'unda blogunda yaptığı açıklamada, Brevo'da yaşanan güvenlik olayı nedeniyle yaklaşık 347 bin bülten e-posta adresinin saldırganlara açık hale gelmiş olabileceğini bildirdi. Şirket, bu adreslerin ileride yeniden oltalama saldırılarında kullanılabileceğini belirtti.

Oltalama e-postasının başlığı 'Critical Security Alert: STM32 Entropy Vulnerability' şeklindeydi. E-posta, Trezor cüzdanının güvenlik açığının kontrol edilmesi gerektiği iddiasıyla kötü amaçlı bağlantıya tıklanmasını teşvik ediyor, bağlantıya tıklandığında ise bir uygulama indirildikten sonra kullanıcıdan cüzdan yedekleme ifadesini girmesi isteniyordu.

Trezor, e-posta gönderiminde kullanılan alan adını 20 dakika içinde engelledi. Ancak engellemeden önce yaklaşık 2 bin 500 kişinin bağlantıya tıkladığı tespit edildi.

Trezor'un ürünleri, cüzdanı ve hesap sistemi doğrudan hacklenmedi. Brevo hesabında yalnızca bültene abone olmayı kabul eden kullanıcıların e-posta adresleri saklanıyordu; cüzdan şifreleri veya varlık bilgileri bu hesapta yer almıyordu.

Trezor, cüzdan yedekleme ifadesini girmeyen kullanıcıların varlıklarının güvende olduğunu açıkladı. Yedekleme ifadesi, cüzdanı geri yüklemek için kullanılan gizli ifade olup dışarı sızması durumunda varlıklara erişim için kötüye kullanılabiliyor.

Brevo, bu olay nedeniyle 138 müşteri hesabına erişim sağlandığını açıkladı. Bunların 6'sı oltalama e-postası göndermek için kullanılırken, 43 hesaptan iletişim bilgileri çekildi. Geri kalan 93 hesapta ise anlamlı bir faaliyet tespit edilmedi.

Brevo, yetkilendirme sürecindeki bir kusur nedeniyle saldırgan hesabının erişebileceği kurum kapsamının ötesine geçerek diğer müşteri hesaplarına da erişim sağladığını açıkladı. Bu olay, müşteri bilgilerini saklayan veya bülten gönderen dış hizmet sağlayıcılarının yetkilendirme yönetiminin güvenlik riskine dönüşebileceğini gösterdi.

Saldırının hedefi yalnızca Trezor ile sınırlı kalmadı. Donanım cüzdanı üreticisi BitBox ile kripto para portföy ve vergi yönetim hizmeti CoinTracking da Brevo üzerinden benzer oltalama e-postaları gönderildiğini ayrı ayrı açıkladı.

Trezor kullanıcılarını hedef alan önceki üçüncü taraf e-posta sağlayıcısı ihlali ve kurtarma ifadesi girme yönlendirmesi olayında da şirket, ürün ve cüzdan sisteminin ihlal edilmediğini belirtmişti. Bu kez de saldırının odağı cüzdanın kendisi değil, dış e-posta gönderim hesabıydı.

Oltalama e-postası, normal bir güvenlik duyurusu gibi görünmesi için donanım açığı ve acil uyarı unsurlarını öne çıkardı. Ancak Trezor, e-posta veya çevrimiçi bağlantı yoluyla asla cüzdan yedekleme ifadesi talep etmiyor.

Bu olay, geçtiğimiz Ağustos ayında lojistik iş ortağının ihlal edilmesi sonucu Trezor müşteri bilgilerinin açığa çıktığı olaydan sonra ikinci güvenlik sorunu oldu. Önceki olayda ad, e-posta adresi, telefon numarası ve teslimat adresi gibi siparişle ilgili bilgilerin açığa çıktığı bildirilmişti.

Dış hizmet sağlayıcıların elinde bulunan e-posta adresleri ve iletişim bilgileri oltalamada kullanıldığında, saldırganlar kullanıcılara çok daha gelişmiş sahtecilik mesajları gönderebiliyor. Ancak bu olayda Trezor cüzdanının özel anahtarının veya varlık bilgilerinin dışarı sızdığına dair herhangi bir bulgu ortaya konmadı.

Trezor, bu olayı fırsat bilerek dış hizmet sağlayıcılarla olan ilişkisini ve güvenlik şartlarını yeniden gözden geçirecek. Kullanıcıların şüpheli e-postalardaki bağlantılara tıklamaması veya yedekleme ifadesini girmemesi gerekiyor; eğer yedekleme ifadesini zaten girmişlerse varlıklarını yeni bir cüzdana taşımaları öneriliyor.