Trezors Mailchimp-Newsletter zum Versand einer gefälschten Trezor Suite missbraucht

Am 2. und 3. April 2022 erhielten Abonnenten des Trezor-Newsletters E-Mails, in denen behauptet wurde, Trezor habe einen Sicherheitsvorfall erlitten, und in denen sie aufgefordert wurden, eine neue Version der Trezor Suite herunterzuladen und eine neue PIN festzulegen. Trezor bestätigte das Phishing am 3. April und erklärte, es untersuche ein mögliches Datenleck bei seinem auf Mailchimp gehosteten Opt-in-Newsletter.

Laut BleepingComputer führte der Download-Button zu einer Punycode-Doppelgänger-Domain, die als suite.trezor.com angezeigt wurde. Der Download war ein modifizierter Build der quelloffenen Trezor Suite, signiert von „Neodym Oy“ statt von SatoshiLabs; sobald ein Gerät angeschlossen wurde, fragte er nach der Wiederherstellungsphrase und sendete sie an die Angreifer.

Mailchimp sagte gegenüber TechCrunch, es habe das Eindringen am 26. März 2022 entdeckt: Nach einem Social-Engineering-Angriff gelangte ein Angreifer an ein internes Werkzeug für Support und Kontoverwaltung, sah etwa 300 Konten ein und exportierte Empfängerdaten aus 102 davon. The Block berichtet, dass Trezor die Phishing-Domain vom Netz nahm und seinen Newsletter aussetzte.

In seiner eigenen Darstellung vom 14. April 2022 erklärt Trezor, dass vier Mailchimp-Mitarbeitende über mehrere Wochen Ziel von Phishing waren, dass es Angriffe im Februar (ohne Datenabfluss), im März und am 2. April gab und dass der letzte offenbar allein auf das Konto von Trezor zielte. Laut Trezor umfassten die gestohlenen Daten die E-Mail-Adressen der Abonnenten, Daten von Personen, die sich abgemeldet hatten, und in einigen Fällen Namen und IP-Adressen. Trezor kündigte an, Mailchimp nicht mehr zu nutzen.

Was Trezor empfiehlt:

• Geben Sie Ihren Wiederherstellungs-Seed niemals in eine App oder Website ein; geben Sie ihn nur auf dem Trezor-Gerät ein.
• Tippen Sie trezor.io in den Browser ein, statt Links in E-Mails zu folgen.