Trezor 電郵供應商 Brevo 遭入侵：約 34.7 萬封釣魚電郵，假 STM32 漏洞誘騙錢包備份

重點摘要

2026 年 9 月 11 日，TechCrunch 報道硬體冷錢包廠商 Trezor 再次因第三方供應商資安事件向客戶示警：行銷電郵平台 Brevo 遭未授權存取後，攻擊者透過 Trezor 的電子報帳戶，向約 34.7 萬名訂閱者發出釣魚郵件。本文已對照 Trezor 官方博客（2026-09-10）與 TechCrunch、BleepingComputer 等一手／一手轉述報道，來源真實性已驗證。重點在於：錢包本體與帳戶系統未受影響，但供應鏈電郵通道一旦失守，假「關鍵安全警示」即可直達收件匣，誘騙用戶交出助記詞（錢包備份）。

Trezor 電郵供應商 Brevo 遭入侵：約 34.7 萬封釣魚電郵，假 STM32 漏洞誘騙錢包備份

2026 年 9 月 11 日，TechCrunch 報道硬體冷錢包廠商 Trezor 再次因第三方供應商資安事件向客戶示警：行銷電郵平台 Brevo 遭未授權存取後，攻擊者透過 Trezor 的電子報帳戶，向約 34.7 萬名訂閱者發出釣魚郵件。本文已對照 Trezor 官方博客（2026-09-10）與 TechCrunch、BleepingComputer 等一手／一手轉述報道，來源真實性已驗證。重點在於：錢包本體與帳戶系統未受影響，但供應鏈電郵通道一旦失守，假「關鍵安全警示」即可直達收件匣，誘騙用戶交出助記詞（錢包備份）。

一、事件經過：Brevo 失守，合法域名發假警示

技術細節

據 Trezor 官方說明，事件發生於 2026 年 9 月 9 日：Brevo（Trezor 用於電子報行銷的第三方平台）出現資安事故，攻擊者存取 Brevo 系統，並透過包括 Trezor 在內的客戶帳戶對外發信。官方指事故影響約 120 個 Brevo 帳戶；TechCrunch 另引述 Brevo 狀態更新，指黑客存取約 138 個帳戶，並濫用權限範圍配置不當（access「not properly scoped」／「wrongly granted」）擴大發送能力。

受影響的是 Trezor 的 opt-in 電子報名單，約 34.7 萬個電郵地址。釣魚主旨為：「Critical Security Alert: STM32 Entropy Vulnerability」。郵件內含惡意連結，誘導下載應用並要求輸入錢包備份。Trezor 強調：公司從不要求用戶交出錢包備份；產品、錢包與帳戶系統本身未遭入侵。

官方稱在約 20 分鐘內於 DNS 層撤下惡意域名，並停用發信功能；點擊連結者約 2,500 人（在域名下線前）。其後透過 Trezor.io、Trezor Suite、社群與支援渠道、直接電郵等發出警示，並逐一通知受影響訂閱者。

這是近期第二宗牽涉 Trezor 供應商的事件：稍早物流伙伴 ShipMonk 外洩訂單相關資料（姓名、電話、電郵、地址等），TechCrunch 指至少約 8.1 萬人受影響。兩案性質不同——本次是行銷電郵通道被劫持發釣魚，而非硬體或鏈上金鑰被直接竊取——但對用戶而言，連續的供應鏈風險訊號同樣值得重視。

二、技術原理深度解析

硬體錢包的安全模型，核心是把私鑰與助記詞留在離線裝置內。攻擊者若無法物理取得裝置，最有效的路徑往往是「社會工程＋合法通道」：讓用戶自己把備份貼上釣魚頁。

Brevo 類平台負責電子報投遞、退訂與名單管理，郵件常經客戶自有域名路由。一旦攻擊者能以該帳戶發信，收件人看到的寄件身分與認證痕跡（例如熟悉的域名）會更像「真的 Trezor」，遠比普通仿冒網域難辨。本次主旨刻意使用「STM32 Entropy Vulnerability」技術詞彙，製造「裝置熵源缺陷、種子可被暴力破解」的緊迫感——Trezor 與跟進報道均指出，這是虛構的釣魚敘事，並非真實硬體漏洞。

供應鏈視角下，電子報供應商持有的主要是電郵地址與行銷偏好，通常不含錢包密鑰；但名單一旦被用於（或被視為已為攻擊者所知）持續釣魚，風險會延伸到未來數月。Trezor 表示在取得 Brevo 進一步說明前，會將約 34.7 萬地址一律視為可能已暴露，並檢討供應商關係與安全要求。

四、日常應用場景

1. 開發者與技術團隊

任何以自有域名經 SaaS 發信的產品（電子報、交易通知、密碼重設），都應將「發信權限最小化、異常大量發送告警、域名緊急吊銷流程」納入事件應變手冊。對 Web3 團隊而言，切勿在電郵或 App 內要求用戶輸入助記詞；技術支援腳本也應預設拒絕此類請求。

2. 企業與隱私敏感行業

金融、專業服務與持牌虛擬資產機構若依賴第三方行銷／通知平台，應檢視委外存取範圍、多因素驗證、以及供應商事故的合約通報時限。客戶通訊渠道被劫持，會直接打擊品牌信任，即使核心系統未失陷。

3. 一般用戶

  • 永不在電郵連結開啟的網頁或 App 輸入錢包備份／助記詞。
  • 收到「關鍵硬體漏洞」類信件：先透過官方 App 或書籤進入官網核實，不要點信內連結。
  • 若已輸入備份：立即在乾淨裝置建立新錢包並轉移剩餘資產（依官方指引）。
  • 僅點擊、未輸入備份：官方指資金風險主要來自「輸入了備份」。

4. 香港與亞洲市場視角

香港自託管與硬件錢包用戶眾多，亦常見以電郵接收交易所、錢包廠商與專案方通知。本次顯示「冷錢包本體安全」不足以覆蓋「通訊供應鏈」：即使用戶從不把種子存雲端，一封看起來來自官方域名的釣魚信仍可造成不可逆損失。企業資安與雲端遷移項目，應把第三方 SaaS 發信與身分冒充納入威脅模型，而非只掃內網與端點。

五、專業評價與潛在考量

優勢（防禦與披露層面）

  • Trezor 公開承認通道為第三方 Brevo，並明確區分「產品未遭駭」與「電子報遭濫用」，有助用戶判斷風險邊界。
  • 在約 20 分鐘內撤域名、停發信，並多渠道示警，屬可觀察的應變動作。
  • 清楚列出釣魚主旨與「永不索取備份」原則，降低二次社工空間。

需要留意的地方

  • 約 34.7 萬地址可能被重複用於後續釣魚；ShipMonk 案後已有實體信件＋QR 碼釣魚跟進，顯示供應鏈外洩常是多波攻擊的起點。
  • Brevo 帳戶影響數字在官方（約 120）與媒體引述（約 138）之間略有出入，讀者宜以各機構最新狀態頁為準。
  • 技術用戶可能因「STM32」等硬體關鍵字而降低戒心——釣魚文案愈「工程化」，愈需獨立核實渠道。

結語

Trezor／Brevo 事件再次說明：自託管的安全性，不只取決於晶片與安全元件，也取決於每一條對外發信與通知供應鏈。對香港企業與開發團隊而言，盤點雲端與網絡邊界上的第三方身份、把發信異常當成一級告警，已與修補自身產品漏洞同等重要。若需要在香港強化雲端遷移與網絡安全架構（官網刊 99.99% SLA），可參考 YSK Limited 的雲端遷移與網絡安全服務（https://ysk.hk/services/cloud-security）。

參考來源

延伸閱讀 · 相關服務與產品

相關文章