Trezor phishはDMARCを通過しました。実際、ウォレット自体が問題だったわけではありません。

9月9日の夜にTrezorのユーザーに送られたメールには、「Trezor Security」という送信者名が記載されており、送信元はhelp@trezor.ioでした。また、標準的なメール認証プロセスもすべて通過しました。これこそが、この侵害事件を読む価値がある理由です。つまり、そのメールはTrezorからのものだと主張していないのです。あらゆる機械的なテストを経ても、それはTrezorからのメールだったのです。

そうではありませんでした。それは、Trezorがニュースレターを配信するために使用しているサードパーティ製のマーケティングプラットフォームであるBrevoを通じて送信されるフィッシングメールでした。9月9日には、攻撃者がBrevoのシステムにアクセスし、Trezor自身のメールインフラを利用して、「Critical Security Alert: STM32 Entropy Vulnerability」という偽のメールを送信しました。約347,000人のニュースレター購読者. 約2,500人がリンクをクリックしました。TrezorがDNSレベルでそのドメインを破壊する前に、約20分以内に。

認証が攻撃の手口だった

これが、最も過小評価されている詳細点です。なぜなら、フィッシングメールはTrezorの正式なニュースレターのチャネルを通じて送信されたからです。SPF、DKIM、DMARCを通過して進んだ— メールサーバーが「これは本当に送信者が言っている通りのメールだ」と判断するための3つのチェック。送信者フィールドにはhelp@trezor.ioが記載されていました。Return-Pathでmailing.trezor.ioからのメールを読み取るその悪意のあるページはr.mailing.trezor.ioで存在していました。攻撃者がそのアイデンティティを利用できることはほとんどありません。だからこそ、このメールは、他人を疑うだけの知識を持っている人々に効果的だったのです。

この偽の警告は、正確な内容の記事から始まります。それによると、STM32マイクロコントローラにある欠陥が存在し、その結果、デバイスが…弱い40ビットのシードを生成する約4分の1のデバイスに影響を与えるということです。Trezorは、その主張は誤りであり、そのような警告を発表したことはないと述べています。そのリンクをクリックすると、xPubを「確認」するか、ウォレットのバックアップ情報を入力するよう求めるページが表示されます。これこそが、第三者がハードウェアウォレットから資金を移動させるための手段です。

トレゾールは、これらが製品に何の影響も与えないと明言しました。「他のTrezorシステムは一切触れられていない」同社はそう述べています。また、Brevoのシステムにはパスワードやウォレットデータは一切含まれていません。リンクをクリックしても何も表示されず、クローンされたページにリカバリーコードを入力することで、お金が実際に送金されるのです。Trezorも、アドレスのリストがエクスポートされているかどうかを確認できないと述べています。したがって、彼らはその点について何も保証できないのです。攻撃者が知っている全347,000のアドレスそして、今後もフィッシング攻撃に再利用可能です。

今、2番目の穴をテーブルの上に置きましょう。

ブレボの事件は、今月にトレゾールが遭遇した唯一のベンダー攻撃ではありません。このような事象は常にあるのです。8月には、トレゾールは自分たちのデバイスを梱包して配送する会社であるShipMonkで攻撃があったことを公表しました。9月初旬には、トレゾールは最初に報告されたよりも深刻な状況だったと述べました。さらに67,000人のアメリカ人顧客が注文された商品について、その名前、メールアドレス、電話番号、配送先の住所、注文番号が公開されてしまった。2019年11月から2021年8月の間、既知の影響を受けた総数を押し上げる8万を超えたシップモンク、トレゾールはそう言った。偽りの安心感その顧客データが削除されてしまったのです。その損害は画面外に移動しました。顧客たちは報告しました。フィッシング電話や、QRコードが付いた書簡.

これら2行を合わせて読めば、事態は「Trezorが攻撃された」というわけではない。署名装置やシード生成プロセスは正常に機能していた。問題だったのは、セルフコスタリーサービスを利用する顧客が信頼すべきメッセージ送信や物流の仕組みである。1ヶ月間に2回、2つの異なるベンダーが、2つの異なるアタック手段を使ってこの仕組みを破壊したのだ。これは、企業にとってベンダーの集中化による問題であり、同種のサービスにとっては繰り返される信頼問題であり、製品の故障ではない。

実際に小売投資家がこれをどう使うのか

アメリカの市場に上場しているTrezorの株式は、購入や売却することができません。製造元であるSatoshiLabsはプラハに拠点を置く非公開企業です。したがって、このイベントによる投資の影響は、単なる株式取引ではなく、自己保管型コインに関する判断であり、自分自身のリスクに関するものです。市場もこれを単なる市場イベントとして扱っていません。ビットコインの価格は約77,000ドルで推移し、これは52週間の高値である125,000ドルには遠く及ばない。暗号通貨の恐怖/欲求指数は56程度で中立的な状態であり、ビットコインの支配力は高い状態です。つまり、自己保管型コインからの逃避現象は見られないのです。

有用な区別は、要塞と周辺領域の違いです。要塞というのは、シグネチャや生成されるシードを含む装置であり、この点から見ると、二度の攻撃を耐え抜いています。一方、周辺領域というのは、メールや配送情報、更新情報などであり、これらは常に攻撃者に渡されている状態です。そこが、自己管理を行う人にとっての本当の被害の原因です。それは高度な悪用ではなく、巧妙に認証されたメールで指示されるページに復元用の文字列を入力することです。クリックしても何も変わりません。しかし、シードを入力すれば全てが変わります。

したがって、保持するための停止条件は明確です。もし将来、契約機械やキー生成プロセス自体に問題が発生した場合——顧客と通信するチャネルだけでなく——ならば、自己保存というメリットは再評価される必要があります。なぜなら、ハードウェアウォレットが約束するのは、鍵がシリコンから離れることがないということだからです。1ヶ月に2回のベンダーの違反があったとしても、それは何も示していません。実際には、会社自身の信頼できるチャネルから、鍵を要求するメッセージが続々と送られてくるだけです。