Solana Mobile停用Brevo账户核查未授权访问
Solana Mobile披露，第三方营销邮件服务商Brevo发生安全事件，部分客户账户受影响，其中包含Solana Mobile自身账户。团队发现该账户遭未授权访问后已立即停用，并与Brevo核对被读取信息范围。
Brevo官方事后说明显示，攻击者利用其SAML单点登录边界缺陷，在约9月9日至10日进入138个客户账户。其中6个账户被用来向通讯录发送钓鱼邮件，43个账户的联系人名单被导出，另有93个账户未见实质性操作。Brevo于9月10日约8:30 UTC关闭攻击路径并强制登出全平台会话。
硬件钱包厂商Trezor确认，其约34.7万名newsletter订阅者在9月9日收到伪装官方邮件，主题为“Critical Security Alert: STM32 Entropy Vulnerability”，链接诱导下载应用并索取钱包备份。Trezor称约2500人点开恶意链接后其在20分钟内关闭域名。BitBox与CoinTracking也报告其Brevo账户被用于同类攻击。
Solana Mobile称，截至目前尚未发现以其账户发出任何邮件，但仍在与Brevo交叉核验发送日志与导出记录。公司同时强调，官方不会索要助记词、私钥或钱包恢复信息。邮件列表一旦被导出，后续仍可能出现仿冒Solana Mobile、Seeker预购或SKR相关通知的二次钓鱼。
此次攻击未触及Solana链上协议、Seeker设备固件或用户钱包私钥存储，暴露面集中在营销通讯录与发信权限。攻击者先自建Brevo账户并开启SSO，再邀请真实用户进入该SSO配置，利用身份提供方冒充受邀用户，错误获得其可触及的全部组织权限，从而把营销SaaS变成定向钓鱼通道。
市场机制上，这是事件驱动的供应链钓鱼，不是协议漏洞抛售。资金流向仍落在“骗助记词—转移链上资产”路径，承压方是使用同一邮件服务商的加密硬件钱包、税务工具与消费硬件品牌；受益方是继续持有冷存储、拒绝点击邮件链接的用户。SOL现货与链上结算层未因该事件出现结构性卖压，短期波动更多来自情绪与仿冒邮件扩散速度，而非验证者或流动性池撤资。
来源：公开信息
ABAB AI 解读
Solana Labs在Saga一代手机上就把增长压在预购名单与邮件触达上，Saga超级应用、Chapter 2空投资格都依赖同一套用户漏斗。这次Brevo账户被进，等于把过去两轮硬件预售沉淀下来的邮箱资产重新暴露给钓鱼团伙。Trezor此前已多次因第三方服务商出事向用户发警告，说明硬件钱包行业把“发信权”外包给营销SaaS后，安全边界早已从芯片熵源挪到了CRM登录态。
资本路径很清楚：加密硬件公司为了把获客成本压到邮件点击率上，把最敏感的已验证邮箱批量交给Brevo这类通用营销平台。攻击者不必攻破安全芯片，只要拿到SSO越权，就能把34.7万条Trezor邮箱和潜在的Solana Mobile预购名单变成可复用的鱼饵。资源调动方式是“低成本建号—邀请内部用户—横向拿全组织权限—导出名单或直接群发”，投入远低于攻链，回报直接对应链上可转移资产。
同类结构在Ledger Connect Kit前端被投毒、Slope钱包助记词上传云端、以及多次交易所客服邮件被仿冒时已经出现过。行业阶段已从“扩产能、打空投”转入“控制触达入口”。谁掌握已验证用户邮箱，谁就能在不碰合约的前提下完成资金抽取。Solana Mobile此刻不是在扩产Seeker，而是在补供应链信任缺口。
结构上属于产业链重构：安全责任从自托管硬件下沉到第三方SaaS身份边界。机制是定价权转移——用户以为买的是离线签名设备，实际定价因子变成“营销服务商有没有把SSO范围锁死”。一旦边界失效，冷钱包叙事立刻被邮件链路击穿，资本会重新给“自建发信基础设施”和“最小权限CRM”定价，而不是继续给同一套增长邮件工具溢价。
ABAB News · 认知定律
最贵的资产往往放在最便宜的外包里
攻不下芯片，就攻发信权
用户名单比协议漏洞更接近现金