Trezor phish은 DMARC를 통과했습니다. 월렛 자체가 문제였던 것은 아니었습니다.

9월 9일 저녁에 트레조르 고객들에게 도달한 이메일에는 “Trezor Security”이라는 발신자 이름이 적혀 있었으며, 발신 주소는 help@trezor.io였습니다. 또한 모든 표준적인 이메일 인증 절차도 통과했습니다. 이러한 사실만으로도 이 침해 사건을 읽어보는 가치가 있습니다. 해당 메일은 트레조르의 메일이라고 거짓말하지 않았습니다. 모든 기계적 테스트를 거친 결과, 그 메일은 실제로 트레조르에서 보내진 메일이었습니다.

그렇지 않았습니다. 그것은 Brevo라는 제3자 마케팅 플랫폼을 통해 배포된 피싱 이메일이었습니다. Trezor은 뉴스레터를 발송할 때 이 플랫폼을 사용합니다. 9월 9일에 공격자가 Brevo의 시스템에 접근하여, Trezor 자체의 메일 인프라를 이용해 “심각한 보안 경고: STM32 Entropy 취약점”이라는 가짜 메일을 전송했습니다.약 347,000명의 뉴스레터 구독자. 약 2,500명이 링크를 클릭했습니다.트레조르가 DNS 수준에서 해당 도메인을 파괴하기 전에, 약 20분 이내에 그 일이 일어났습니다.

인증 자체가 바로 공격이었습니다.

이것은 가장 과소보도된 세부 사항입니다. 피싱 이메일이 트레조르의 실제 뉴스레터 채널을 통해 전달되었기 때문입니다.SPF, DKIM, DMARC를 지나쳤습니다.– 이메일 서버가 “이 메일은 실제로 주장하는 발신자로부터 온 것”임을 확인하는 세 가지 검사입니다. 발신자 필드는 help@trezor.io입니다.Return-Path는 mailing.trezor.io를 읽습니다.그 악의적인 페이지는 r.mailing.trezor.io에 있었습니다. 공격자는 그 신원을 빌릴 수 있는 경우가 거의 없기 때문에, 이메일이 낯선 사람들을 의심할 수 있는 능력이 있는 사람들에게만 효과적이 됩니다.

이 가짜 알림은 정확해 보이는 내용으로 시작됩니다. STM32 마이크로컨트롤러의 결함으로 인해 장치가 문제가 될 수 있다는 내용입니다.약한 40비트 씨드를 생성합니다.이 문제는 약 4분의 1에 해당하는 기기에 영향을 미칩니다. 트레조르는 이러한 주장이 거짓이라고 말하며, 그러한 권고사항을 발표한 적이 없습니다. 그 링크를 클릭하면 “xPub” 정보를 확인하거나 지갑의 백업 정보를 입력해야 하는 페이지로 이동합니다. 이 정보가 없으면 제3자가 하드웨어 지갑에서 자금을 이동시킬 수 없습니다.

트레조르는 이 모든 것이 제품에는 전혀 영향을 미치지 않는다고 분명히 밝혔습니다.“다른 Trezor 시스템은 손대지 않았습니다.”회사는 그렇게 말했으며, Brevo의 시스템에는 비밀번호나 월렛 데이터가 존재하지 않습니다. 링크를 클릭해도 아무것도 노출되지 않습니다. 복구 문구를 입력하는 방식으로야말로 실제로 돈이 이동됩니다. Trezor도 해당 주소 목록이 내보내졌는지 확신할 수 없다고 말했습니다. 그래서 그쪽에서는 그런 처리를 하고 있습니다.공격자에게 알려진 347,000개의 주소 전체향후에도 피싱 공격에 재사용될 수 있습니다.

이제 두 번째 균열을 테이블 위에 놓으세요.

Brevo 사건은 이번 달에 Trezor이 겪은 유일한 공급업체 침해 사례가 아닙니다. 이러한 현상은 계속되고 있습니다. 8월에 Trezor은 자사 제품을 포장하고 배송하는 회사인 ShipMonk에서도 침해가 발생했다고 밝혔습니다. 9월 초에는 Trezor은 처음 보고된 것보다 더 심각한 상황이라고 말했습니다.또한 67,000명의 미국 고객이 추가로 있음주문된 주문 정보로부터 그들의 이름, 이메일, 전화번호, 배송 주소, 주문 번호가 공개되었습니다.2019년 11월부터 2021년 8월까지알려진 영향을 받은 총량을 늘리는 것80,000을 넘었어요.“ShipMonk, Trezor”라고 말했어요.거짓된 안심그로 인해 고객 데이터가 삭제된 것입니다. 그러면 손상된 부분은 화면에서 사라졌습니다. 고객들은 그렇게 말했습니다.QR 코드가 포함된 피싱 전화나 물리적인 편지.

이 두 줄의 내용을 함께 읽어보면, 문제는 “트레조르가 해킹당했다”는 것이 아닙니다. 서명 장치와 씨앗 생성 과정은 정상적으로 작동했습니다. 문제가 된 것은 메시징 및 물류 관련 부분입니다. 즉, 고객이 신뢰해야 하는 자체 관리 시스템이 한 달에 두 번, 두 개의 다른 공급업체에 의해, 두 가지 다른 공격 방식으로 공격당한 것입니다. 이는 회사에 있어서 공급업체의 집중 문제이며, 전체적인 신뢰 문제입니다. 제품의 결함이 아닙니다.

소매 투자자가 이를 실제로 어떻게 활용하는가?

미국 주식 시장에 상장된 트레조르 주식은 구매하거나 Short할 수 없습니다. 트레조르의 개발사인 SatoshiLabs는 프라하에 위치한 사기업입니다. 따라서 이번 이벤트가 가진 투자 가치는 단순한 주식이 아니라, 자체 보관 방식과 귀하의 리스크에 대한 판단입니다. 시장도 이를 단순한 주식 이벤트로 취급하지 않습니다. 비트코인 가격은 그 후 약 77,000달러 정도였으며, 52주 고점인 125,000달러에는 미치지 못했습니다. 암호화폐 공포/긍정 지수는 56에 불과했고, 비트코인의 지배력도 높았습니다. 즉, 자체 보관된 코인들로부터 안전하게 빠져나가는 현상은 나타나지 않았습니다.

유용한 구분은 요새와 경계선 사이의 차이입니다. 요새란, 서명을 하거나 생성된 씨앗을 담는 장치입니다. 이런 장치는 두 번의 공격을 견뎌냈습니다. 반면, 이메일, 배송, 업데이트 정보 등은 계속해서 공격자들에게 넘어가고 있습니다. 그리고 바로 그곳에서 자기 관리자가 입는 실제 손실이 발생합니다. 그것은 복잡한 악용 방식이 아니라, 교묘하게 인증된 이메일에 지시된 페이지에 복구 문구를 입력하는 것에서 비롯됩니다. 클릭하는 것은 아무런 변화도 가져오지 않습니다. 하지만 씨앗을 입력하는 것만으로 모든 것이 바뀝니다.

따라서 유지해야 할 보호 조건은 매우 명확합니다. 만약 향후 어떤 문제가 하드웨어 워레트나 키 생성 과정 자체에 발생한다면—고객과 통신하는 채널만이 아니라—그때는 자가 보안 가치 제안을 다시 평가해야 합니다. 왜냐하면 하드웨어 워레트가 약속하는 것은 키가 결코 실리콘 밖으로 나가지 않는다는 것이기 때문입니다. 한 달 동안 두 번의 공급업체 침해 사례가 있었지만, 그로 인해 키를 요청하는 메시지들이 계속해서 오고 있다는 것을 알 수 있습니다. 그리고 그 메시지들은 회사의 신뢰할 수 있는 채널을 통해 전달됩니다.