Cuidado com e-mails falsos partindo do domínio oficial da Trezor

[sabotag3x]

Trezor sendo Trezor.. agora sofreram um ataque em seu provedor de e-mail e estão disparando e-mails falsos para seus usuários a partir do domínio oficial deles..

Não cliquem em nada

Nosso provedor de e-mail terceirizado sofreu uma invasão. Esteja ciente de que o e-mail intitulado “Critical Security Alert: STM32 Entropy Vulnerability” (Alerta de Segurança Crítico: Vulnerabilidade de Entropia do STM32) não foi enviado por nós e se trata de uma tentativa de phishing. Não clique em nenhum link.

Retiramos o domínio do ar e estamos investigando a situação, incluindo como os hackers conseguiram acessar nosso domínio legítimo.

Com certeza alguém clicou nessa merda ai e perdeu dinheiro.

[alegotardo]

Com certeza alguém clicou nessa merda ai e perdeu dinheiro.

Não se pode confiar mais em nada!?
Aí é pedir pra levar processo já.... se mexem com a grana de alguém que sabe "mexer os pauzinhos" a Trezor pode ter grande problemas caso a vítima alegue que seguiu procedimentos enviado por um "canal oficial".

Mas... acho que o pessoal de cripto já tá tão vacinado com esse tipo de hacker e pishing que a maioria dificilmente cai nesses golpes, principalmente quando vÊ que o link leva para sites totalmente aleatórios.
A diferença aqui é que pelo fato disso ter partido de um servidor "confiável", a chance do servidor de email do destinatário classificar como Spam é baixíssima... então muitas pessoas provavelmente chegaram a abrir o e-mail, pelo menos.

[criptoevangelista]

É golpe atrás de golpe, bem, eu raramente clico em link de e-mail e sempre penso, se for algo importante a pessoa ou empresa vem me procurar de outra forma, ou seja, eles que lutem hahahaa….

Hoje em dia um negócio que se popularizou são os perfis falsos de WhatsApp, Telegram se passando por conhecidos, eh ligação de compra de bancos no qual vc sequer tem conta, cara tá f…. A galera quer tirar dinheiro dos outros sempre baseado na mutreta, mas honestamente é trabalhando fica sempre em último plano, tem tanta coisa legal que esses caras poderiam criar, mas preferem usar a inteligência pra aplicar golpes, e se eles existem eh porque eh lucrativo e muita gente cai…. Loop sem fim.

[rdluffy]

Mais uma dia, mais um vazamento pela Trezor

Eu já quase morri do coração de novo, já é a terceira vez após o hack da coldcard
Assim que vejo um anúncio oficial já dá aquele gelo na barriga 

Talvez seja hora de repensar como os dados são tratados, como a Trezor contrata esses terceiros...
Mas sei que é bem difícil visto que a maioria dos países exige a retenção dos dados dos clientes, mas a segurança fica bastante em risco

[sabotag3x]

O provedor de e-mail falou que 120 contas foram afetadas pelo incidente..

Do setor cripto, até agora, BitBox (que também faz carteiras de hardware) e Coin Tracking trambém afirmaram que estão entre as vítimas.

Hoje em dia um negócio que se popularizou são os perfis falsos de WhatsApp, Telegram se passando por conhecidos, eh ligação de compra de bancos no qual vc sequer tem conta, cara tá f…. A galera quer tirar dinheiro dos outros sempre baseado na mutreta, mas honestamente é trabalhando fica sempre em último plano, tem tanta coisa legal que esses caras poderiam criar, mas preferem usar a inteligência pra aplicar golpes, e se eles existem eh porque eh lucrativo e muita gente cai…. Loop sem fim.

Até os bandidos estão fazendo home office.. dizem que a segurança nas ruas está melhorando por conta disso

Realmente, está impossível usar telefone hoje em dia.. ligação é só golpe.

[mikel_012]

Agora nem confiar no email verdadeiro dá

Algum dia vão enviar um email muito importante e toda a confiança vai ter acabado, igual o menino e o lobo

Como sobrevivemos nesse campo minado que é cheio de hacks por toda parte?

[joker_josue]

Bem. Acho que estamos a chegar a um ponto, em que aquela ideia que foi defendida no início dos anos 2000,de que enviar um email devia ter um custo, mesmo que simbólico, começa a fazer casa vez mais sentido.

Tem de se começar analisar formas da informação começar a ser mais confiável da sua origem.
Surgir uma solução que não se fique tão dependente de terceiros para garantir que a mensagem é realmente confiável.

Alguém que consiga apresentar uma solução nesse sentido, pode realmente fazer sucesso.

[Forsyth Jones]

Realmente não está sendo um ano fácil para as hardware wallets, embora a carteira em sí não tenha sido afetadas (exceto vulnerabilidade cold_hack), agora são ou a base de dados ou o próprio provedor de email de terceiros da Trezor que foi comprometido, de qualquer forma, usuários frequentes sabem muito bem que seed phrase só se digita no dispositivo, qualquer coisa fora disso é golpe.

O provedor de e-mail falou que 120 contas foram afetadas pelo incidente..

Do setor cripto, até agora, BitBox (que também faz carteiras de hardware) e Coin Tracking trambém afirmaram que estão entre as vítimas.

Até os bandidos estão fazendo home office.. dizem que a segurança nas ruas está melhorando por conta disso

Realmente, está impossível usar telefone hoje em dia.. ligação é só golpe.

Pois é, é muito mais fácil aplicar golpes e comprometer provedores de empresas com ajuda da IA pra identificar tais brechas, sem polícia correndo atrás de ti, uma vez que os caras estão por trás de VPNs ou Tor, receio que os ataques vão piorar ainda mais, a Trezor precisa arranjar uma solução urgente para suas dependência de dados com terceiros.

[mikel_012]

Bem. Acho que estamos a chegar a um ponto, em que aquela ideia que foi defendida no início dos anos 2000,de que enviar um email devia ter um custo, mesmo que simbólico, começa a fazer casa vez mais sentido.

Tem de se começar analisar formas da informação começar a ser mais confiável da sua origem.
Surgir uma solução que não se fique tão dependente de terceiros para garantir que a mensagem é realmente confiável.

Alguém que consiga apresentar uma solução nesse sentido, pode realmente fazer sucesso.

Não vejo como isso vai ajudar

Quem tem dados vazados vai enviar email assim como qualquer empresa se for lucrativo e ele fazer vítimas cairem no golpe, mesmo se for pago

A solução é parar de ter tantos vazamentos mas sabemos que não é bem assim e que isso só vai aumentar

[sabotag3x]

Bem. Acho que estamos a chegar a um ponto, em que aquela ideia que foi defendida no início dos anos 2000,de que enviar um email devia ter um custo, mesmo que simbólico, começa a fazer casa vez mais sentido.

Tem de se começar analisar formas da informação começar a ser mais confiável da sua origem.
Surgir uma solução que não se fique tão dependente de terceiros para garantir que a mensagem é realmente confiável.

Alguém que consiga apresentar uma solução nesse sentido, pode realmente fazer sucesso.

Não vejo como isso vai ajudar

Quem tem dados vazados vai enviar email assim como qualquer empresa se for lucrativo e ele fazer vítimas cairem no golpe, mesmo se for pago

A solução é parar de ter tantos vazamentos mas sabemos que não é bem assim e que isso só vai aumentar

Concordo.. golpistas tem incentivos financeiros para gastar alguns dólares em uma campanha de phishing.. tanto que já gastam com ataques de poisoned addresses.. basta uma pessoa cair que esse custo já se pagou 100 mil vezes.. já o usuário comum viveria um pesadelo com esse sistema.

Não tem muito o que fazer.. talvez diminuir a dependência de terceiros, já que pela segunda vez no mês o problema "não foi do lado deles".

Achei o golpe bom dessa vez.. devem ter pedido ajuda de uma IA.. antigamente era uns golpes difícil de engolir, como "envie seus bitcoins que lhe devolvo o dobro" (e tinha gente que caia).

[criptoevangelista]

O provedor de e-mail falou que 120 contas foram afetadas pelo incidente..

Do setor cripto, até agora, BitBox (que também faz carteiras de hardware) e Coin Tracking trambém afirmaram que estão entre as vítimas.

Hoje em dia um negócio que se popularizou são os perfis falsos de WhatsApp, Telegram se passando por conhecidos, eh ligação de compra de bancos no qual vc sequer tem conta, cara tá f…. A galera quer tirar dinheiro dos outros sempre baseado na mutreta, mas honestamente é trabalhando fica sempre em último plano, tem tanta coisa legal que esses caras poderiam criar, mas preferem usar a inteligência pra aplicar golpes, e se eles existem eh porque eh lucrativo e muita gente cai…. Loop sem fim.

Até os bandidos estão fazendo home office.. dizem que a segurança nas ruas está melhorando por conta disso

Realmente, está impossível usar telefone hoje em dia.. ligação é só golpe.

POis é cara, ta impossivel atender ligações... eu antigamente usava a operador TIM, era todo dia pelo menos umas 10 ligações aleatórias de golpe, porém la aonde eu trabalho não funcionava legal... ai eu troquei pra VIVO, e por coincidência as ligações indesejadas cairam cerca de 99%, de vez em quando eu recebo um SMS de compra que fiz em algum lugar, mas cara, mudou da agua pro vinho, provavelmente a operadora tem algum esquema ai envolvido, sei lá... mas bastou trocar de operadora grande parte das ligaçoes acabaram

[joker_josue]

Não tem muito o que fazer.. talvez diminuir a dependência de terceiros, já que pela segunda vez no mês o problema "não foi do lado deles".

E como é que fazes isso?

Por acaso, algum tempo que tenho analisado as possíveis soluções para não expor tantos dados a terceiros, principalmente quando envolve logística, mas é muito complicado.
Isso de dizer que apanham vale pouco, e dificilmente vão fazer um contrato sobre o tema. Porque cada empresa tem o seu próprio método de trabalho.

[sabotag3x]

Não tem muito o que fazer.. talvez diminuir a dependência de terceiros, já que pela segunda vez no mês o problema "não foi do lado deles".

E como é que fazes isso?

Por acaso, algum tempo que tenho analisado as possíveis soluções para não expor tantos dados a terceiros, principalmente quando envolve logística, mas é muito complicado.
Isso de dizer que apanham vale pouco, e dificilmente vão fazer um contrato sobre o tema. Porque cada empresa tem o seu próprio método de trabalho.

Pelo que eu entendi, esse provedor de e-mail era usado para disparar e-mails da newsletter deles.. precisa ter esse intermediário? melhor ainda, precisa ter uma newsletter?

No caso dos envios também, imagino que pudessem cortar esse intermediário.

O foco da empresa é segurança.. querem economizar com isso?

Eu tenho um pé atrás com eles desde que vi um alerta do Windows sobre o Trezor Suite.. parece que não levam essas coisas muito a sério..

[joker_josue]

Pelo que eu entendi, esse provedor de e-mail era usado para disparar e-mails da newsletter deles.. precisa ter esse intermediário? melhor ainda, precisa ter uma newsletter?

No caso dos envios também, imagino que pudessem cortar esse intermediário.

Em relação ao email, sim, não precisavam de usar um serviço de terceiros para enviar newsletter (na realidade, podiam ne ter newsletter, mas isso já é outra questão). Mas ter um serviço próprio envolve tuas questões: capacidade de servidor de e-mail; ter bom software para gerir envios.

Não sei se você alguma vez mexeu na questão das newsletters. Eu já, e de facto não é tão simples como enviar um e-mail.
A questão do software, é relativamente fácil de lidar, apenas tem de garantir manter atualizado e bem configurado.
O problema começa com o SMTP. A maioria dos servidores não fornecem de base servidor SMTP para envios em massa. Mesmo que o servidor tem essa capacidade, existe a probabilidade desse servidor cair em listas negras e os emails enviados começarem a ficar rejeitados.

Por isso é que a maioria das empresas, preferem contratar serviços terceiros que fazem esse tipo de gestão, para garantir que os emails são sempre entregues.
Espera-se que uma empresa especializada a enviar emails, tenha sistemas de segurança para evitar este tipo de fugas.

Qualquer das formas, com um investimento maior é capaz de se gerir essa questão.


Em relação aos envios, já é bem mais difícil, porque precisam sempre das empresas de transporte.
Quando eles dizem que tem uma intermediário para os envios, acredito que seja a empresa de transporte (não uma empresa, que embala e envia).

Então, quando eles preparam o envio, tem de informar que a caixa X vai para o cliente Y. A informação do Y fica na posse da empresa de transporte.
Desse modo, a empresa de transporte tem 2 informações: o seu cliente (empresa que envia a caixa) e a do cliente do seu cliente (destinatário Y).

Se a empresa de transporte, não apaga a informação do Y, ela vai ficar sempre ligada a empresa K. A base de dados dos envios vai ter algo como:
cliente (Trazer) | data | destinatário (nome/morada/telefone) | tracking

Torna-se fácil, apos um hacker roubar essa base de dados, conseguir saber para quem a Trezor enviou encomendas. Pode não saber se foi enviado acessórios ou wallets, mas sabe que aquele destinatário recebeu algo da Trezor.

Mesmo que use uma empresa de logística, para embalar e enviar, apenas esta antecipar um passo para partilhar essa informação com terceiros.
Alias, ter esse tipo de intermédio, pode ser uma forma de proteger a própria origem do envio, gerando uma camada de segurança no momento do enviou. Isto porque na embalagem vai dizer que aquela encomenda foi enviada por XPTO e não por Trazer. Porque numa situação normal (sem hacks), nem mesmo o estafeta, sabe a verdadeira origem da encomenda e o que ela poderá conter.

No final o problema do enviou de encomendas é sempre este: como lidar com a parte da logística/transporte. Isso é realmente muito difícil, de fazer diferente do que já se faz.