假藉「STM32 漏洞」之名，攻擊者如何誘騙用戶？

Question

Accepted Answer

攻擊者透過冒充 Trezor 官方，利用假冒的「STM32 漏洞」釣魚郵件誘騙用戶交出錢包資訊

攻擊者利用 Trezor 第三方電子郵件服務供應商遭入侵的機會，精心策劃了一場釣魚攻擊。他們偽造了標題為「Critical Security Alert: STM32 Entropy Vulnerability」的郵件，聲稱 Trezor 裝置所使用的 STM32 微控制器存在嚴重的隨機數和熵值漏洞。郵件進一步闡述，此漏洞可能嚴重威脅用戶錢包備份的安全性，並藉此恐嚇用戶必須立即進行安全檢查，進而誘騙用戶點擊郵件中的惡意連結，並在釣魚網頁中輸入其錢包的敏感資訊，例如助記詞（recovery seed）或錢包備份。
郵件的偽裝與技術手段提升了欺騙的有效性

此次釣魚郵件之所以能有效混淆視聽，關鍵在於攻擊者不僅冒充了 Trezor 官方，更巧妙地利用了合法的郵件發送基礎設施。部分用戶收到的郵件，其標頭顯示是由「mailing.trezor.io」傳送，並且通過了 SPF、DKIM 和 DMARC 等常見的寄件者驗證機制。這意味著攻擊者可能取得了第三方郵件系統的權限，進而借用了 Trezor 原本受信任的發信鏈路。此外，有獨立資安研究指出，部分惡意連結最初甚至經過 Trezor 的郵件追蹤子網域進行轉址，這使得用戶即使仔細檢查寄件人地址或滑鼠懸停在連結上，也難以在第一時間辨識出異常，大大增加了釣魚郵件的欺騙性。
傳統的辨識方法已不足以應對此類進階攻擊

此次事件揭示了傳統辨識釣魚郵件的方法已面臨嚴峻挑戰。Trezor 官方一貫強調，用戶絕對不應在線上輸入或向任何人提供 recovery seed／wallet backup。公司絕不會主動要求用戶提供錢包備份、PIN 碼、密碼或任何驗證碼，任何要求「驗證助記詞」或要求將錢包備份輸入網頁的通知，都應直接視為詐騙。然而，在這次攻擊中，即使郵件來自看似官方的網域，通過了寄件者驗證，甚至連結最初指向官方子網域，這些傳統的判斷依據都已不再可靠，凸顯了硬體錢包產業在面對供應鏈風險時的脆弱性。

閱讀紀錄

隱藏 →

此記錄會在頁面關閉後消失

假藉「STM32 漏洞」之名，攻擊者如何誘騙用戶？

Loading

你覺得這篇文章有幫助嗎？

有幫助

沒幫助

回報問題

1

0

0

分享給好友