트레조르의 “STM32 엔트로피” 이메일은 진짜 공포 이야기를 가득 담은 사기성 메일입니다.

이 이메일을 열어보세요. 이메일은 여러분이 이전에 본 주소에서 온 것입니다. 제목란에는 “심각한 보안 경고: STM32 엔트로피 취약점”이라고 적혀 있습니다. 트레조르 엔지니어들이 여러분의 지갑에 들어 있는 칩에 결함을 발견했다고 합니다. 4분의 1의 기기들이 위험에 처할 수 있으며, 여러분의 복구 문구도 충분한 무작위성이 없을 수 있다고 합니다. 마지막에는 그 문제를 해결하기 위한 링크가 있습니다. 긴급하고, 구체적이며, 위험한 내용입니다.

클릭하지 마세요. 그 이메일은 공격이지, 경고가 아닙니다.

무기화된 진실

그 메시지는 가짜이지만, 그에 대한 허위 정보는 사실이 아닙니다. 트레조르의 제3자 이메일 제공 서비스가 해킹당했으며, 공격자들은 회사의 합법적인 인프라를 이용해 그 메시지를 전송했습니다.SPF, DKIM, DMARC 검사를 통과했습니다.이는 일반적으로 진짜 발신자의 신호입니다. 트레조르는 해당 도메인을 차단했으며, 그 이메일이 해당 도메인에서 온 것이 아니라고 밝혔습니다. 따라서 수신자들은 어떤 링크도 클릭하지 말라는 경고가 있습니다.사용자의 자금이나 장치는 침해되지 않았습니다..

여기서 여러분의 판단에 중요한 부분이 있습니다. 이 공포감은 실제로는 그렇게 무섭지 않습니다. 왜냐하면 그 뒤에 있는 이야기는 다른 곳에서도 사실이기 때문입니다. 올해 초에 발생한 한 사건에서는 비트코인 월렛 제조업체인 Coldcard의 펌웨어 버그가 원인이었습니다.128비트에서 40비트로 줄어든 약화된 씨앗의 무작위성장치에 아무런 손도 대지 않고 그냥 기계적으로 처리할 수 있습니다.스웨브가 가져간 금액에 대한 추정치는 약 7천만 달러에서 1억 달러 이상까지 다양했습니다.공격의 파도를 넘어서… STM32는 많은 하드웨어 월렛에 사용되는 칩 제품군입니다. 엔트로피란, 당신의 시드를 생성하는 무작위성입니다. 이 말들은 정확합니다. 메모리는 실제로 존재합니다. 피싱 이메일은 경쟁사의 진짜 문제를 트레조어 브랜드에 적용시켜, 그 사기성 메일을 신뢰할 수 있는 것처럼 보이게 만드는 것입니다.

그것이 바로 작동 방식입니다. 피시가 효과적으로 작동하려면, 그 “미끼”가 진짜 경고처럼 보일 만큼 신뢰할 수 있어야 합니다. 공격자가 실리콘 장치를 통과할 수 없다면, 그 사람은 장치를 무시하고 시드 프레이즈를 가지고 있는 사람을 공격합니다.

왜 그것이 특정 이메일함에 도착했는지

가장 무서운 점은 이메일 자체가 아니에요. 문제는 그 가짜 정보가 적절한 사람들에게 전달된다는 것입니다. 이는 약 한 달 만에 세 번째로 발생하는 트레조르의 타사업체와의 문제입니다. 8월에는 파트너인 ShipMonk이 고객들의 이름, 전화번호, 주소를 유출했고, 9월 초에는 트레조르가…추가로 67,000명의 미국 고객이 피해를 입었습니다.고객들은 자신의 이름을 알고 있는 낯선 사람들로부터 전화를 받았다고 보고했으며, 그 사람들은 하드웨어 월렛을 가지고 있었다고 합니다.QR 코드가 포함된 물리적 편지.

순서대로 그 절차를 실행하면, 이런 우연은 더 이상 일어나지 않을 것입니다. 공격자들은 배송 관련 보안 취약점을 이용해 귀하의 연락처 정보를 얻은 뒤, 신뢰할 수 있는 발신자로 피싱 이메일을 보냈습니다. 그 메일에는 올해 실제 사람들을 해친 취약점인 엔트로피가 언급되어 있었습니다. 장치가 고장나는 것은 전혀 필요 없었습니다. 정보 유출과 도난당한 발신자 도메인만으로도 모든 작업이 완료되었습니다. 심지어 독립적인 월렛 제작사인 BitBox도 같은 날에 이러한 위험에 대해 경고했습니다.그 회사의 뉴스레터 제공업체가 공격 대상이 되었을 가능성이 높습니다.이는 여러 암호화폐 회사들 간의 공유 이메일 인프라를 가리키는 패턴이며, 단일 월렛의 결함이 아니라는 것을 의미합니다.

오늘 밤에 당신이 실제로 통제할 수 있는 것들

하드웨어 워렛의 역할은 귀하의 개인 키를 인터넷에 노출시키지 않는 것입니다. 이 사건으로 인해 Trezor나 다른 워렛의 기능에는 아무런 변화가 없습니다. 왜냐하면 이 이메일은 가짜이며, 귀하의 시드키도 전혀 위험하지 않았기 때문입니다. 여기서 취약한 부분은 칩이 아니라, 워렛이 중간에서 막을 수 없는 한계점입니다. 즉, 웹 페이지에 12개의 문자를 입력할지 말지 결정하는 것이죠.

그러니까, 어떤 트레이딩을 평가할 때와 마찬가지로 그 트레이딩도 평가해야 합니다. 진입하기 전에 출구를 명확히 지정해 두세요.

1. 링크를 클릭하지 마세요. 전화에도 응답하지 마세요.워칭 메이커들은 결코 당신의 복구 시드를 요청하지 않습니다.그런 메시지는 본질적으로 사기입니다.
2. 자신이 열어놓은 채널을 통해서만 행동해야 합니다.브라우저에 “trezor.io”를 입력하거나 공식 앱을 사용하세요. 의심스러운 이메일에 포함된 링크는 절대로 믿지 마세요.
3. 만약 이미 링크된 페이지에 씨앗을 입력했다면, 그 월렛은 소멸됩니다.즉시 새로운 지갑으로 자금을 이전하세요. 업데이트하지 말고, 마이그레이션도 하지 말고, “리셋”도 하지 마세요. 반드시 마이그레이션해야 합니다.
4. 어떤 하드웨어 월렛 공급업체를 평가할 때제3자 위험을 선택 기준으로 삼되, 부수적인 요소로 여기지 마세요. 2026년에 소매점의 지갑을 비웁는 공격 표면은 칩이 아닙니다. 그건 공급업체와 여러분의 반응력입니다.

유통기한

이 특정 체크리스트는 피싱 도메인이 삭제되고 침해된 서비스 제공자가 확인되는 순간에 만료됩니다. 그때가 바로 청소가 필요한 때입니다. 하지만 아래에 적힌 내용은 유효합니다. Coldcard와 같은 온체인 해킹 사건들은 주목받지만, 실제로 대부분의 소유자들이 겪는 손실은 진짜 이야기와 빌려온 송금 주소를 이용한 사회공학적 방식으로 인한 것입니다.

다시 “긴급”한 보안 조치를 취하기 전에, 같은 세 가지 사항을 확인해보세요: 발신자가 자신이 열어놓은 채널로 다시 연결되는지, 누군가가 시드를 요청하는지, 그리고 주장된 취약점이 실제로 당신의 워렛에 존재하는지 – 아니면 단지 경쟁사의 워렛에만 존재하는지입니다. 마지막 질문에 대한 답이 바로 이 피싱 공격이 성공할 가능성이 높은 이유입니다. 또한 이것이 바로 이 공격이 실패할 것이라는 증거입니다.