As fabricantes de carteiras de hardware de criptomoedas Trezor e BitBox emitiram um alerta a seus clientes sobre uma sofisticada campanha de phishing. O ataque explora uma falha na cadeia de confiança: os e-mails maliciosos estão sendo enviados a partir dos canais de newsletter legítimos das próprias empresas, após um de seus fornecedores de serviço de e-mail ter sido comprometido.
Segundo uma reportagem do site The Register, os e-mails fraudulentos, com títulos como “Alerta Crítico de Segurança”, alegam uma falsa vulnerabilidade de hardware e instruem os usuários a inserir suas frases de recuperação (backups da carteira) em um site malicioso. Como as mensagens vêm de um remetente autêntico, como mailing@trezor.io, elas conseguem contornar filtros de spam e parecem genuínas, elevando drasticamente o risco para os usuários.
O elo mais fraco da cadeia
O incidente expõe uma vulnerabilidade crítica não no hardware das carteiras — que permanecem seguras — mas no ecossistema de serviços terceirizados do qual dependem até mesmo as empresas mais focadas em segurança. A leitura aqui é que a estratégia dos atacantes evoluiu: em vez de tentar quebrar criptografias complexas, o foco é comprometer um fornecedor periférico, mas com acesso a um canal de comunicação direto e confiável com os clientes.
Embora nem a Trezor nem a BitBox tenham nomeado o parceiro, as políticas de privacidade de ambas apontam para a Brevo (antiga Sendinblue) como provedora de serviços de newsletter. A empresa de rastreamento de portfólio de cripto CoinTracking, que também foi alvo, confirmou que seu provedor comprometido foi a Brevo. O padrão sugere um ataque direcionado a um único ponto de falha que serve a múltiplas companhias do setor, ampliando o alcance do golpe.
Um padrão de risco em terceiros
Para a Trezor, este episódio agrava um problema recorrente de segurança em sua cadeia de suprimentos. Há menos de um mês, a empresa revelou que dados de 80.000 clientes — incluindo nomes, e-mails e endereços — foram expostos devido a uma violação em seu parceiro de logística, a ShipMonk. A repetição de incidentes ligados a fornecedores arranha a imagem de uma marca cujo principal produto é a segurança.
A lição para o mercado é dura. A promessa de uma fortaleza digital pode ser minada por uma falha no serviço de entrega ou na plataforma de e-mail marketing. Para os usuários, o conselho da própria Trezor soa quase como um mantra de desconfiança sistêmica: “Nunca insira seu backup de carteira em lugar nenhum. Sempre confirme cada ação fisicamente em seu Trezor”.
A sofisticação do ataque, que explora a confiança em vez da ignorância do usuário, sinaliza um novo patamar de risco para o ecossistema digital. À medida que as empresas adotam uma teia crescente de serviços de SaaS para operar, a superfície de ataque se expande para muito além de seus próprios servidores. A segurança do todo, ao que parece, é ditada pela vulnerabilidade de uma de suas partes.
Com reportagem de Brazil Valley
Source · The Register
