ハードウェアウォレットメーカーであるTrezorとBitBoxの公式メールを装ったフィッシング攻撃が発生しているため、注意が必要です。The Blockの報道によると、今回のフィッシングメールは送信者が公式ドメインとして表示されていたため、ユーザーが騙されやすい巧妙なものでした。

調査の結果、メーカー自体のシステムが直接ハッキングされたわけではありません。メール配信を担当する外部サービス事業者のセキュリティが突破され、公式ドメインの権限が悪用されたことが確認されました。

Trezorは過去にも配送を担当する外部業者のデータ流出事故を経験しています。今回の事件は、デバイス自体のセキュリティがどれほど強力であっても、マーケティングや配送を担う外部委託先を介したサプライチェーン攻撃には依然として脆弱である可能性を示しています。

公式メールアドレスから送られてきたメールであっても、シードフレーズの入力を求めるものは100%フィッシングです。どのハードウェアウォレットメーカーもオンラインで復元フレーズを要求することはないという基本原則を常に覚えておく必要がありますね。他のウォレットメーカーにも同様の被害が拡大しないか、当面は警戒しておく必要がありそうです。

関連リンク