Осторожно с холодными кошельками! Пользователи Trezor и Ledger продолжают получать физические письма с фишинговыми QR-кодами

Методы мошенничества с криптовалютами снова усложнились: в последнее время несколько пользователей аппаратных кошельков, таких как Trezor и Ledger, сообщили о получении физических писем, имитирующих официальные уведомления. В письмах требовали сканировать QR-код для принудительной проверки, на самом деле же это было мошенничество, направленное на получение мнемонических фраз и кражу активов. Такие атаки не впервые появляются, что вновь подчеркивает долгосрочные риски утечки личных данных и социальной инженерии.

Физические письма, маскирующиеся под официальные уведомления, требуют срочной «проверки личности»

Команда кибербезопасности Dmitry Smilyanets отметила, что несколько пользователей получили бумажные письма, подписанные от имени Trezor или Ledger, в которых утверждалось, что необходимо в определенный срок пройти «проверку аутентификации» или «проверку транзакции», иначе устройство может быть ограничено.

Сообщается, что внешний вид писем выполнен тщательно, с подделанными подлинными подписями, логотипами брендов и защитными наклейками, а также приложен QR-код для проверки. В некоторых случаях письма даже использовали подпись генерального директора Trezor Matěj Žák.

Сканирование QR-кода ведет на фальшивый сайт, где пытаются заставить ввести мнемоническую фразу

Dmitry Smilyanets сообщил, что QR-код в письмах перенаправляет получателя на поддельный сайт, имитирующий официальный интерфейс, и требует ввести мнемоническую фразу для так называемой «безопасной проверки». После ввода фразы данные передаются злоумышленникам через API, что позволяет им импортировать кошелек на других устройствах и переводить активы.

Официальные представители Trezor и Ledger неоднократно подчеркивали, что они никогда и ни через какие сайты, электронные письма или физические письма не запрашивают у пользователей мнемоническую фразу. Потеря этой информации равносильна потере контроля над кошельком.

Источники атак: утечки данных Ledger и их последствия

Такие физические мошенничества достигают адресатов благодаря утечкам данных за последние годы. В 2020 году Ledger столкнулся с утечкой данных после инцидента с партнером по электронной коммерции Shopify, в результате которой были раскрыты имена и физические адреса сотен тысяч клиентов. В 2023 году Ledger Connect Kit также подвергся атаке цепочки поставок. В начале 2024 года Trezor сообщил о утечке контактных данных 66 000 пользователей.

В прошлом месяце Ledger также сообщил о взломе третьего лица — платежного сервиса Global-e, в результате которого утекли имена и контактные данные пользователей. Официально заявлено, что ключи и платежная информация не были скомпрометированы, однако эти данные могут использоваться для фишинговых атак. Даже если сам аппарат безопасен, утечка личных данных увеличивает риск повторных мошенничеств.

(Global-e, платежный сервис Ledger, утечка данных: официальная позиция «сам кошелек в безопасности»)

Эволюция методов мошенничества: от электронных писем к физической социальной инженерии

Анализируя последние тенденции атак, можно заметить, что фишинговые схемы расширяются: от электронных писем и поддельных сообщений поддержки — до подделки приложений, рассылки фальшивых устройств и физических писем. Физическая почта снижает бдительность пользователей, особенно когда дизайн письма очень реалистичен, что значительно усложняет распознавание мошенничества. Постоянное появление новых методов отражает риски, связанные с защитой данных и зависимостью от третьих сторон в криптоиндустрии.

Dmitry Smilyanets предупреждает, что для пользователей важнейшая защита — это соблюдение базовых правил: «Никогда никому не раскрывайте мнемоническую фразу». В условиях постоянных киберугроз повышение осведомленности и безопасность цепочек поставок остаются важнейшими задачами отрасли.

Эта статья: Осторожно с холодными кошельками! Пользователи Trezor и Ledger продолжают получать физические письма с фишинговыми QR-кодами. Первоначально опубликовано на Chain News ABMedia.