Trezor稱第三方郵件商遭入侵併警告釣魚郵件
硬件錢包商Trezor稱其第三方郵件服務商遭入侵，攻擊者藉此發出主題爲“Critical Security Alert: STM32 Entropy Vulnerability”的釣魚郵件，並要求用戶不要點擊任何鏈接。公司稱已關閉相關域名，仍在調查如何進入合法發送域。
郵件經通過認證的郵件子域發出，可通過SPF、DKIM、DMARC，收件箱顯示爲官方渠道。文案稱STM32芯片存在出廠缺陷、約四分之一設備種子熵不足約40位，並給出“檢測是否受影響”鏈接，指向郵件平臺點擊跟蹤子域。Trezor稱郵件非其所發；設備固件、私鑰與助記詞未被暴露。有分析指下線後發送認證已拆、鏈接握手失敗。此事與8月物流合作方ShipMonk泄露分開：後者披露客戶姓名、地址、電話與郵箱，規模經更新超過8萬條，抬高定向釣魚成功率。誘餌貼近近期其他硬件錢包固件熵問題引發的失竊討論。另有聲音稱同類主題或波及其他品牌用戶。Trezor及所屬SatoshiLabs歷史上多次因支持門戶或郵件商被濫用而發警告，強調永不索要助記詞。
市場機制上，買方是持有冷錢包、對芯片漏洞敏感的用戶，賣方是控制郵件通道的攻擊者；驅動是真實安全新聞提供話術。資金從受騙用戶的鏈上轉出流向釣魚站，而非進入Trezor金庫。受益的是能把官方信封做成點擊的入侵者，承壓的是必須解釋“信是真通道、內容是假”的品牌，以及剛被物流商泄露過聯繫方式的客戶名單。
來源：公開信息
ABAB AI 解讀
硬件錢包的攻擊面早已不在芯片主路徑，而在會發信的外包商。認證協議只能證明信從授權域出來，不能證明按鈕背後是廠商。把STM32熵寫成標題，是把別家失竊新聞複製到自家用戶的恐懼賬戶。物流泄露先交出姓名地址，郵件商再交出官方信封，兩週內完成一次供應鏈拼裝。
資本路徑是安全品牌把製造外包、把履約外包、把羣發外包，只把密鑰留在設備裏。利潤來自賣盒子，風險來自賣盒子必須留下的聯繫人清單。每次第三方事件都強化“助記詞永不聯網”的教義，也強化對官方郵件的不信任，客服成本上升。競品同樣依賴同一類郵件平臺，通道淪陷具有行業傳染性。
類似Ledger客戶數據泄露後的多年釣魚、以及交易所把公告發到被劫持的域名。行業階段是設備安全與身份安全分裂：芯片可以十年無遠程失竊，通訊錄一年失竊三次。誰還用同一封“緊急安全通知”模板，誰就是在給攻擊者提供可複用劇本。
結構上屬於產業鏈重構中的信任斷裂：安全產品的邊緣服務被當成攻擊入口。機制是域認證降低用戶警覺，真實漏洞新聞提供文案，泄露名單提供投遞精度；廠商越強調鏈下密鑰安全，攻擊者越專門打鏈下通知層。
ABAB News · 認知定律
過了認證的信，只證明通道被拿下
冷錢包失竊，常常先從熱郵箱開始
外包發信的安全公司，把信任也外包了