El boletín de Trezor en Mailchimp se usó para distribuir un Trezor Suite falso

El 2 y 3 de abril de 2022 los suscriptores del boletín de Trezor recibieron correos que afirmaban que Trezor había sufrido un incidente de seguridad y les indicaban que descargaran una nueva versión de Trezor Suite y establecieran un PIN nuevo. Trezor confirmó el phishing el 3 de abril y dijo que estaba investigando una posible filtración de su boletín de suscripción voluntaria alojado en Mailchimp.

Según BleepingComputer, el botón de descarga llevaba a un dominio de apariencia similar con Punycode que se mostraba como suite.trezor.com. La descarga era una versión modificada del Trezor Suite de código abierto, firmada por «Neodym Oy» en lugar de SatoshiLabs; al conectar un dispositivo, pedía la frase de recuperación y la enviaba a los atacantes.

Mailchimp dijo a TechCrunch que detectó la intrusión el 26 de marzo de 2022: tras un ataque de ingeniería social, un atacante accedió a una herramienta interna de soporte y administración de cuentas, consultó unas 300 cuentas y exportó datos de audiencia de 102 de ellas. The Block informa de que Trezor desactivó el dominio de phishing y suspendió su boletín.

En su propio relato del 14 de abril de 2022, Trezor afirma que cuatro empleados de Mailchimp sufrieron phishing durante varias semanas, que hubo ataques en febrero (sin robo de datos), en marzo y el 2 de abril, y que el último parece haber apuntado solo a la cuenta de Trezor. Según Trezor, los datos robados incluían las direcciones de correo de los suscriptores, datos de personas que se habían dado de baja y, en algunos casos, nombres y direcciones IP. Trezor anunció que dejaría de usar Mailchimp.

Qué recomienda Trezor:

• No introduzcas nunca tu semilla de recuperación en ninguna aplicación ni sitio web; introdúcela solo en el dispositivo Trezor.
• Escribe trezor.io en el navegador en lugar de seguir enlaces de correos electrónicos.