9 września klienci Trezora — czeskiego producenta sprzętowych portfeli kryptowalutowych — dostali wiadomość zatytułowaną „Critical Security Alert: STM32 Entropy Vulnerability”. Mail ostrzegał przed rzekomą fabryczną wadą mikrokontrolerów STM32, przez którą fraza odzyskiwania ma być podatna na złamanie siłowe, i kierował do strony, gdzie należało ją „zweryfikować”. Wiadomość wyszła z adresu help@trezor.io, czyli z prawdziwej domeny producenta. Firma potwierdziła nazajutrz, że doszło do włamania do jej zewnętrznego dostawcy poczty, zablokowała domenę użytą w linkach i zaczęła wyjaśniać, w jaki sposób napastnicy uzyskali możliwość wysyłki.
Dlaczego to wyjątkowo groźny rodzaj phishingu
Większość poradników o rozpoznawaniu oszustw mailowych opiera się na sprawdzaniu nadawcy. Literówka w domenie, dziwne rozszerzenie, adres na darmowej skrzynce — to klasyczne sygnały ostrzegawcze. Tutaj żaden z nich nie występuje. Mail nie tylko wygląda na prawdziwy, on formalnie jest wysłany z infrastruktury nadawcy, więc przechodzi kontrolę SPF, DKIM i DMARC. Filtry antyspamowe traktują go jak każdą inną wiadomość z newslettera, do którego odbiorca sam się zapisał.
Na szczęście kampania miała słaby punkt: była masowa i nieszyta na miarę. Wiadomości nie zawierały danych konkretnego klienta, co odróżnia je od precyzyjnego spear phishingu. Sama treść też była wymyślona — nie istnieje żadna potwierdzona podatność STM32 pozwalająca odtworzyć seed z portfela Trezora. To był wyłącznie pretekst, żeby wywołać panikę i skłonić do wpisania frazy odzyskiwania na stronie napastnika.
Trzecia wpadka podwykonawcy w cztery tygodnie
Ten incydent nie zdarzył się w próżni. W sierpniu Trezor poinformował o wycieku danych z ShipMonk, firmy obsługującej mu logistykę i wysyłki. Skradziono imiona i nazwiska, adresy dostawy, adresy e-mail i numery telefonów. Początkowo mówiło się o blisko 14 tysiącach klientów, po dodatkowym dochodzeniu liczba urosła do 81 tysięcy — dotyczy zamówień z okresu od 10 maja do 8 sierpnia 2026, także z krajów europejskich. Według powiadomień rozesłanych poszkodowanym napastnicy wykorzystali podatność w platformie analitycznej Metabase, a sam ShipMonk otrzymał później maile z żądaniem okupu od grupy ShinyHunters.
Wcześniej, w styczniu 2024, Trezor tracił dane 66 tysięcy użytkowników przez włamanie do zewnętrznego systemu zgłoszeń serwisowych. Wzór się powtarza: sam produkt pozostaje bezpieczny, bo klucze prywatne nigdy nie opuszczają urządzenia, ale wszystko dookoła niego — poczta, logistyka, helpdesk, analityka — jest obsługiwane przez firmy trzecie o zupełnie innym poziomie zabezpieczeń. Dla właściciela portfela kryptowalutowego to szczególnie niewygodna kombinacja, bo wyciek listy klientów oznacza gotową bazę adresową dla oszustów, którzy dokładnie wiedzą, kto ma w domu sprzęt wart uwagi.
Co z tym zrobić
Najważniejsza zasada jest prosta i nie ma od niej wyjątków: fraza odzyskiwania nigdy nie jest wpisywana nigdzie poza samym urządzeniem. Żaden producent, żaden support, żadna „weryfikacja bezpieczeństwa” nie ma prawa o nią prosić. Jeśli strona lub formularz pyta o 12 albo 24 słowa — to oszustwo, niezależnie od tego, jak wiarygodnie wygląda adres nadawcy.
Poza tym warto przyjąć kilka nawyków, które działają także w oderwaniu od kryptowalut. Nie klikać w linki z maili ostrzegających o zagrożeniu, tylko wpisywać adres producenta ręcznie w przeglądarce. Traktować pilność i strach w treści jako sygnał ostrzegawczy sam w sobie — to standardowe narzędzie socjotechniki. Weryfikować doniesienia o „krytycznej luce” na oficjalnych kanałach firmy, na przykład na jej profilu w mediach społecznościowych. I zakładać, że adres e-mail podany przy zamówieniu sprzętu prędzej czy później trafi do nie tych rąk, co trzeba — osobna skrzynka na zakupy ogranicza skalę problemu.
Podsumowanie
Sprawa Trezora pokazuje, że kryterium „czy adres nadawcy się zgadza” przestało wystarczać. Łańcuch dostaw usług — poczta, logistyka, wsparcie — jest dziś najkrótszą drogą do klientów renomowanej marki, a przejęcie kanału komunikacji daje napastnikowi wiarygodność, której sam by sobie nie zbudował. Jedyną odporną na to obroną pozostaje twarda zasada dotycząca tego, czego nigdy się nie podaje — bez względu na to, kto pyta.