Les e-mails de hameçonnage concernant Trezor provenaient de l'adresse d'expédition de Trezor elle-même

Environ 347 000 personnes inscrites à la newsletter de Trezor ont reçu un e-mail le 9 septembre. Celui-ci les avertissait d’une « vulnérabilité d’entropie STM32 » dans leur portefeuille matériel. L’expéditeur était [email protected]. Cette adresse est réelle, la signature a été vérifiée et le message utilisait la même infrastructure que celle sur laquelle Trezor s’appuie pour sa propre newsletter. Ce message a été rédigé par des criminels.

L’e-mail affirmait qu’environ un appareil Trezor sur quatre était livré avec un défaut de fabrication. Le générateur de nombres aléatoires était trop faible, indiquait-il, et les phrases de récupération pouvaient être piratées par force brute avec une entropie de 40 bits. Toute personne ayant cliqué sur le lien accédait à une application qui demandait ces mots de récupération. Cela suffit pour vider un portefeuille, de manière définitive et irréversible. Trezor indique avoir désactivé le domaine au niveau du DNS en moins de 20 minutes. À ce moment-là, 2 500 destinataires avaient déjà ouvert le lien.

Pourquoi la vérification de l’adresse de l’expéditeur n’est-elle d’aucune utilité dans ce cas ?

Trezor envoie sa newsletter via Brevo, anciennement Sendinblue. Le compte-rendu de Brevo sur l’incident explique comment le pirate a pu s’introduire dans le système. Il a créé son propre compte Brevo, activé l’authentification unique (SSO) et invité des utilisateurs légitimes de Brevo à rejoindre cette configuration. Il a alors pu utiliser son propre fournisseur d’identité pour se connecter en tant que ces utilisateurs, ce qui correspond en soi au fonctionnement prévu de l’authentification unique (SSO). La faille résidait dans la délimitation des accès. Brevo précise que l’accès « n’était pas correctement circonscrit » ; ainsi, au lieu de rester confiné à une seule organisation, il s’est étendu à toutes les organisations auxquelles ces utilisateurs invités pouvaient accéder.

Brevo recense 138 comptes clients affectés. Six d’entre eux ont été utilisés pour envoyer des e-mails de hameçonnage aux contacts qui y étaient stockés, l’attaquant a exporté les listes de contacts de 43 d’entre eux, et 93 n’ont fait l’objet d’aucune activité significative. Brevo a bloqué l’accès à 8 h 30 UTC le 10 septembre et a déconnecté tous les utilisateurs de la plateforme. L’entreprise reconnaît ne pas avoir su protéger les audiences que ses clients lui avaient confiées. Les attaques provenant d’un canal réel et de confiance ne sont pas inhabituelles. En juillet, une publicité Bing payante pour une fausse application « Claude » redirigeait ses victimes vers la page du véritable fournisseur.

Trezor n’était pas la seule cible

Deux autres entreprises ont été victimes de la même faille presque simultanément. Le fabricant suisse de portefeuilles matériels BitBox a signalé un e-mail quasi identique envoyé à ses abonnés à la newsletter. L’objet de ce courriel mettait en garde contre un bug d’entropie inventé de toutes pièces dans le microcontrôleur. CoinTracking, une plateforme fiscale et de gestion de portefeuille, a reçu un leurre différent, car elle ne commercialise pas de matériel. Ce courriel demandait aux clients de mettre à jour leurs clés API qui auraient été compromises.

Brevo n’est ni un prestataire de niche, ni une entreprise exclusivement dédiée aux cryptomonnaies. La société française a racheté en 2019 la société berlinoise Newsletter2Go ainsi que sa base de clients, et un grand nombre de newsletters européennes utilisent aujourd’hui cette plateforme. Il n’est pas nécessaire de posséder un portefeuille matériel pour figurer sur une liste de diffusion hébergée par ce même prestataire.

Ce qui aide réellement dans ce cas

Le conseil habituel consistant à vérifier l’adresse de l’expéditeur ne s’applique pas dans ce cas, car l’adresse était correcte. Les protocoles SPF, DKIM et DMARC n’ont pas non plus signalé d’anomalie. Brevo le dit clairement et précise que les messages « ont été envoyés via une infrastructure légitime ; ils ont donc passé avec succès les contrôles d’authentification habituels des e-mails et semblaient authentiques ». Il ne reste donc que la demande elle-même. Trezor précise dans son message qu’il « ne vous contactera jamais pour vous demander la sauvegarde de votre portefeuille ». Quiconque vous la demande n’est donc pas le fournisseur. Cette règle s’applique également aux banques, aux fournisseurs de messagerie et à tout compte doté de codes de récupération.

Selon Trezor, cliquer sur le lien sans rien saisir ne présente aucun risque. Toute personne ayant saisi ses mots de récupération doit immédiatement transférer ses fonds vers un nouveau portefeuille. Les adresses risquent également de rester en circulation. Trezor a dû confirmer début septembre qu’une faille chez son partenaire logistique ShipMonk touchait plus de 80 000 clients, soit bien plus que ce qu’il avait initialement annoncé.