Trezor称第三方邮件商遭入侵并警告钓鱼邮件
硬件钱包商Trezor称其第三方邮件服务商遭入侵，攻击者借此发出主题为“Critical Security Alert: STM32 Entropy Vulnerability”的钓鱼邮件，并要求用户不要点击任何链接。公司称已关闭相关域名，仍在调查如何进入合法发送域。
邮件经通过认证的邮件子域发出，可通过SPF、DKIM、DMARC，收件箱显示为官方渠道。文案称STM32芯片存在出厂缺陷、约四分之一设备种子熵不足约40位，并给出“检测是否受影响”链接，指向邮件平台点击跟踪子域。Trezor称邮件非其所发；设备固件、私钥与助记词未被暴露。有分析指下线后发送认证已拆、链接握手失败。此事与8月物流合作方ShipMonk泄露分开：后者披露客户姓名、地址、电话与邮箱，规模经更新超过8万条，抬高定向钓鱼成功率。诱饵贴近近期其他硬件钱包固件熵问题引发的失窃讨论。另有声音称同类主题或波及其他品牌用户。Trezor及所属SatoshiLabs历史上多次因支持门户或邮件商被滥用而发警告，强调永不索要助记词。
市场机制上，买方是持有冷钱包、对芯片漏洞敏感的用户，卖方是控制邮件通道的攻击者；驱动是真实安全新闻提供话术。资金从受骗用户的链上转出流向钓鱼站，而非进入Trezor金库。受益的是能把官方信封做成点击的入侵者，承压的是必须解释“信是真通道、内容是假”的品牌，以及刚被物流商泄露过联系方式的客户名单。
来源：公开信息
ABAB AI 解读
硬件钱包的攻击面早已不在芯片主路径，而在会发信的外包商。认证协议只能证明信从授权域出来，不能证明按钮背后是厂商。把STM32熵写成标题，是把别家失窃新闻复制到自家用户的恐惧账户。物流泄露先交出姓名地址，邮件商再交出官方信封，两周内完成一次供应链拼装。
资本路径是安全品牌把制造外包、把履约外包、把群发外包，只把密钥留在设备里。利润来自卖盒子，风险来自卖盒子必须留下的联系人清单。每次第三方事件都强化“助记词永不联网”的教义，也强化对官方邮件的不信任，客服成本上升。竞品同样依赖同一类邮件平台，通道沦陷具有行业传染性。
类似Ledger客户数据泄露后的多年钓鱼、以及交易所把公告发到被劫持的域名。行业阶段是设备安全与身份安全分裂：芯片可以十年无远程失窃，通讯录一年失窃三次。谁还用同一封“紧急安全通知”模板，谁就是在给攻击者提供可复用剧本。
结构上属于产业链重构中的信任断裂：安全产品的边缘服务被当成攻击入口。机制是域认证降低用户警觉，真实漏洞新闻提供文案，泄露名单提供投递精度；厂商越强调链下密钥安全，攻击者越专门打链下通知层。
ABAB News · 认知定律
过了认证的信，只证明通道被拿下
冷钱包失窃，常常先从热邮箱开始
外包发信的安全公司，把信任也外包了