ट्रेज़र ने कहा कि हमलावरों ने उसके तृतीय-पक्ष ईमेल प्रदाता में सेंध लगाई और ग्राहकों को एक फ़िशिंग ईमेल भेजा, जिसे चिप की सुरक्षा से जुड़ी गंभीर चेतावनी के रूप में दिखाया गया था। चार हफ़्तों में यह कंपनी के किसी विक्रेता की सेवा में तीसरी नाकामी थी।
हार्डवेयर वॉलेट कंपनी ने कहा कि उसने इस अभियान के पीछे वाले डोमेन को बंद कर दिया है और जाँच कर रही है कि हमलावर उसके असली डोमेन तक कैसे पहुँचे। बताया गया है कि वॉलेट, कुंजियाँ और रिकवरी बैकअप कभी उजागर नहीं हुए।
ट्रेज़र के ईमेल प्रदाता में सेंध से पहले ShipMonk का डेटा लीक हुआ था
ट्रेज़र के ऑर्डर भेजने वाले साझेदार ShipMonk में 10 अगस्त को हुई एक घटना से यह सिलसिला शुरू हुआ। 4 सितंबर के अपडेट के बाद उजागर हुए ग्राहकों की संख्या 80,000 से अधिक हो गई।
उस लीक में नाम, फ़ोन नंबर और घर के पते शामिल थे। BeInCrypto ने अगस्त में बताया था कि डिवाइस सुरक्षित रहे, जबकि फ़िशिंग और धोखाधड़ी का जोखिम बढ़ गया। इसके बाद ग्राहकों ने धोखाधड़ी वाली कॉल और छपे हुए पत्र मिलने की शिकायत की है।
यह कोई नई बात नहीं है। 2024 में सपोर्ट पोर्टल में सेंध लगने के बाद ट्रेज़र ने 66,000 उपयोगकर्ताओं को चेतावनी दी थी, और प्रतिस्पर्धी कंपनियों से भी चूक हुई है—पिछले महीने SafePal के लगभग 40,000 रिकॉर्ड लीक हुए। डिवाइस तो सुरक्षित रहते हैं। ग्राहक डेटा रखने वाले साझेदार नहीं।
नकली STM32 अलर्ट असरदार क्यों है
ईमेल में “STM32 Entropy Vulnerability” के बारे में सुरक्षा की गंभीर चेतावनी दी गई थी। STM32, ट्रेज़र डिवाइस के भीतर मौजूद छोटे चिपों की एक श्रृंखला का नाम है।
एंट्रॉपी वह अनियमितता है जिसका इस्तेमाल वॉलेट रिकवरी वाक्यांश बनाने के लिए करता है—यही बैकअप फ़ंड पर नियंत्रण देता है। कमज़ोर अनियमितता वास्तव में ख़तरनाक होगी, इसलिए यह झाँसा चिंतित मालिक को विश्वसनीय लगता है।
हमारे तृतीय-पक्ष ईमेल प्रदाता की सुरक्षा में सेंध लगी है। कृपया ध्यान दें कि ‘Critical Security Alert: STM32 Entropy Vulnerability’ नाम का ईमेल हमारी ओर से नहीं भेजा गया है और यह फ़िशिंग का प्रयास है। किसी भी लिंक पर क्लिक न करें,” टीम ने चेतावनी दी।
जैसे ही समाचार होते हैं, हमें X पर फॉलो करें
Trezor उपयोगकर्ताओं को अब क्या करना चाहिए
- Trezor के किसी भी अप्रत्याशित ईमेल में दिए गए लिंक पर क्लिक न करें, खासकर ऐसे ईमेल में जिसमें STM32 या एंट्रॉपी का ज़िक्र हो।
- अपना रिकवरी फ़्रेज़ या डिवाइस का पासकोड कभी भी किसी वेबसाइट पर न डालें।
- अप्रत्याशित फ़ोन कॉल और डाक से आए पत्रों को पुष्टि होने तक संदिग्ध मानें।
- वास्तविक सूचनाओं के लिए trezor.io या X पर Trezor के सत्यापित खाते को देखें।
- जिस किसी ने भी किसी लिंक किए गए पेज पर बैकअप दर्ज किया है, उसे अपनी रकम नए वॉलेट में स्थानांतरित कर देनी चाहिए।
लीक हुई संपर्क जानकारी के साथ असली प्रेषक डोमेन होने से वे संकेत बेअसर हो जाते हैं जिन पर उपयोगकर्ता भरोसा करते हैं।
“हार्डवेयर वॉलेट कंपनियों की ओर से अभी भरोसेमंद लगने वाले फ़िशिंग ईमेल भेजे जा रहे हैं (कम-से-कम Trezor और Bitbox के बारे में सुना है)। संभव है कि किसी मार्केटिंग ईमेल प्रदाता की सुरक्षा में सेंध लगी हो। इसका मतलब होगा कि ग्राहकों के और ईमेल लीक होंगे,” एक उपयोगकर्ता ने बताया।
दरअसल, स्विट्ज़रलैंड में बना Bitcoin हार्डवेयर वॉलेट BitBox ने भी ऐसी ही एक घटना की सूचना दी। फ़र्क सिर्फ़ इतना था कि फ़िशिंग ईमेल उनके न्यूज़लेटर के सदस्यों को भेजा गया था।
बिटबॉक्स के अनुसार, फ़िशिंग हमलों ने संभवतः उन बिटकॉइन कंपनियों को निशाना बनाया होगा जो एक ही न्यूज़लेटर प्रदाता का इस्तेमाल करती हैं।
स्रोत: BeInCrypto
