Trezor「STM32 Entropy」というメールは、実際には詐欺の手口に過ぎない。

メールを開いてみると、以前に見たことがあるアドレスからのものです。件名には「重要なセキュリティ警告：STM32エントロピー脆弱性」と書かれています。また、Trezorのエンジニアがお使いのウォレット内のチップに設計上の欠陥があることを発見したとのことです。4分の1のデバイスが危険にさらされる可能性があり、また、ご自身のリカバリーフレーズも十分なランダム性を持っていない可能性があります。最後に、「問題を解決する」ためのリンクがあります。緊急で、具体的で、警戒すべき内容です。

クリックしないでください。そのメールは攻撃であり、警告ではありません。

武器化された真実

そのメッセージは偽物ですが、その誹謗中傷は実際に起こったことではありません。Trezorの第三者メールサービスが侵害され、攻撃者はそれを利用して、会社の正当なインフラから偽のメッセージを送信しました。SPF、DKIM、DMARCのチェックを通過しました。通常、それは実際の送信者を示すサインです。Trezorはそのアクティブなドメインを削除し、そのメールがそちらからのものではないと述べ、受信者に対して、どんなリンクもクリックしないように注意を促しました。ユーザーの資金やデバイスは一切侵害されていない。.

ここが、あなたの判断に重要な部分です。その恐怖感は、実際よりも強いのです。なぜなら、その背後にある事実は他の場所でも真実だからです。今年初めに行われた実際の攻撃では、Bitcoinウォレット製造会社であるColdcardのファームウェアのバグが原因でした。128ビットからわずか40ビットまで、種子のランダム性が弱まる、デバイスに触れることなく、単純な力で操作することができる。スワーされた金額の推定値は、約7000万ドルから1億ドル以上の範囲で変動している。攻撃の波を越えて…STM32というチップは、多くのハードウェアウォレットに搭載されているチップファミリーです。エントロピーとは、シードを生成するランダム性のことです。言葉の意味は正確です。メモリも実在します。フィッシングメールというのは、競合企業の真の問題をTrezorのブランドに持ち込み、自分たちの偽物を信頼できるものにしているだけです。

それが仕組みです。フィッシュが機能するのは、その「餌」が本物のアラートのように見えるほど信頼できる場合だけです。シリコンを突破できない攻撃者は、デバイスを無視して、シードフレーズを持っている人に狙いを定めます。

なぜ、あなたの特定のメールボックスに届いたのか

最も恐ろしいのは、そのメールそのものではない。問題は、その偽物が正しい人々の手に渡ったことだ。これは、約1ヶ月間でトレゾールが経験した3度目の第三者による問題である。8月には、パートナーのShipMonkが顧客の名前や電話番号、住所を漏らし、9月初旬にはトレゾールがそれを公表した。さらに67,000人の米国の顧客が被害を受けました。顧客は、自分の名前を知っていて、ハードウェアウォレットを持っている人物から電話がかかってくると報告しています。QRコードが付いた物理的な手紙.

順番に手順を実行すれば、これは偶然の出来事ではなくなる。攻撃者は、配送に関するデータ漏洩からあなたの連絡先情報を得て、信頼できる送信者からフィッシングメールを送った。そのメールには、今年に実際の人々が被害を受けた脆弱性であるエントロピーについて言及されていた。装置自体が故障することはなかった。データの漏洩と、盗まれた送信者ドメインのおかげで、すべてがうまくいったのだ。独立したウォレット製造会社であるBitBoxも、同日に同様の警告を発していた。そのニュースレターの配信業者が標的とされていた可能性があります。つまり、問題は、単一のウォレットに存在する欠陥ではなく、複数の暗号通貨企業間で共有されるメールインフラにあるということです。

今夜、あなたが実際にコントロールできること

ハードウェアウォレットの役割は、プライベートキーをインターネットから隠すことです。この件でTrezorの機能に何の変化もありません。また、どのウォレットについても同様です。なぜなら、そのメールは偽物であり、あなたのシードコードも危険にはなりませんでした。ここでの脆弱性はチップ自体ではなく、ウォレットが介在できない層にあるものです。つまり、12文字をウェブページに入力するかどうかを決めるのは、あなた自身です。

ですから、取引を評価する際は、通常の設定と同じように行います。エントリーを考える前に、エグジットを名前で呼びます。

1. リンクをクリックしないでください。電話にも出ないでください。ウォレットメーカーは、あなたのリカバリーシードを求めません。そうでないメッセージは、定義上、詐欺行為に該当します。
2. 自分で開設したチャンネルを通じてのみ行動しましょう。trezor.ioのサイトをブラウザで開くか、公式アプリを使ってください。自分が予期せず受け取ったメール内のリンクは、決して信頼しないでください。
3. もし、すでにリンクされたページにシードを入力した場合、そのウォレットは焼却されます。直ちに、新しいウォレットに資金を移動してください。更新やマイグレーションは行わず、また「リセット」もしないでください。マイグレーションを行ってください。
4. どのハードウェアウォレットベンダーも評価する際に第三者へのリスクを、注釈のようなものではなく、選択基準として考えるべきです。2026年で小売業者の財布が空になる原因となるのは、チップそのものではありません。重要なのは、ベンダーのサポート体制や、あなた自身の反応力です。

有効期限

このチェックリストは、フィッシングドメインが削除され、侵害されたプロバイダが特定されると即座に無効になります。それは単なる片付け作業に過ぎず、何か特別な知恵というわけではありません。しかし、その下にある内容は永続的です。例えば、Coldcardのようなオンチェーンでの盗難事件はニュースになりますが、実際に被害を受けるのは、真実の話を利用して行われる社会工学の手法によるものです。

再び「緊急」なセキュリティ対策を実施する前に、同じ3つの点を確認してください。送信者が自分で開いたチャンネルに戻ってくるかどうか、誰かがシードを要求しているかどうか、そして主張されている脆弱性が本当に自分のウォレットに存在するのか、それとも他の企業のウォレットにのみ存在するのか。最後の問いに対する答えこそが、このフィッシュがほとんど成功した理由です。また、これが今、それが成功しない理由でもあります。