سازنده کیف پول سخت‌افزاری ترزور اعلام کرد که ارائه‌دهنده شخص ثالث آن دچار نفوذ شده و به کاربران هشدار داد که ایمیلی با عنوان «هشدار امنیتی حیاتی: آسیب‌پذیری تصادفی‌سازی STM32» توسط شرکت ارسال نشده است و در واقع تلاشی برای فیشینگ بوده است.
این شرکت از کاربران خواست که روی هیچ لینکی کلیک نکنند.
کلاهبرداری فیشینگ ترزور
در به‌روزرسانی در ایکس، ترزور اعلام کرد که دامنه را حذف کرده و در حال بررسی نحوه دسترسی هکرها به دامنه قانونی خود است. پیام فیشینگ مورد نظر تلاش داشت کاربران را متقاعد کند که یک نقص امنیتی جدی در میکروکنترلرهای STM32 که در دستگاه‌های ترزور استفاده می‌شود، پیدا شده است. طبق هشدار جعلی، میکروکنترلرهای STM32 ممکن است عبارات بازیابی را بدون تصادفی‌سازی کافی تولید کنند و این موضوع می‌تواند دارایی کاربران را در معرض خطر قرار دهد. در این ایمیل همچنین ادعا شده که تا ۲۵٪ از دستگاه‌ها ممکن است تحت تأثیر قرار گرفته باشند.
به گفته نیک نیومن، مدیرعامل و یکی از بنیان‌گذاران کاسا، این مشکل ممکن است محدود به کاربران ترزور نباشد. او اشاره کرد که گزارش‌هایی از پیام‌های مشابه در میان افرادی که از دستگاه BitBox استفاده می‌کنند نیز منتشر شده است.
این اولین بار نیست که یک شریک شخص ثالث مرتبط با ترزور دچار نقض امنیتی می‌شود. در ماه اوت، این پلتفرم یک حادثه امنیتی مشابه را که شریک لجستیکی آن، ShipMonk، در آن دخیل بود و منجر به افشای اطلاعات شخصی تعداد زیادی از مشتریان شد، افشا کرد.
اطلاعات افشاشده شامل داده‌های تماس و تحویل بود. در افشای اولیه، تعداد افراد تحت تأثیر قرارگرفته ۱۳٬۶۸۹ نفر اعلام شد. با این حال، ترزور بعداً تأیید کرد که حدود ۶۷٬۰۰۰ مشتری آمریکایی دیگر نیز تحت تأثیر قرار گرفته‌اند که مجموع افراد افشاشده را به ۸۰٬۶۸۹ نفر رساند.
نگرانی‌های سخت‌افزاری
یک آزمایش امنیتی جداگانه نیز نگرانی‌هایی درباره تراشه TROPIC01 موجود در کیف پول Safe 7 ترزور مطرح کرد. در ماه ژوئن، پژوهشگران Donjon از شرکت لجر دریافتند که با تجهیزات تخصصی و دسترسی فیزیکی به دستگاه، یک مهاجم می‌تواند هنگام بررسی سیستم‌عامل، در عملکرد تراشه اختلال ایجاد کند.
پژوهشگران از یک لیزر با طول موج ۱۰۶۴ نانومتر که به‌دقت متمرکز شده بود، برای ایجاد خطا در طول فرآیند بوت و به‌روزرسانی استفاده کردند. این کار می‌تواند اجازه اجرای سیستم‌عامل تغییر یافته را بدهد. با این حال، ترزور اعلام کرد که این یافته دارایی کاربران را در معرض خطر قرار نمی‌دهد.
زک‌ایکس‌بی‌تی، محقق بلاکچین، پیش‌تر درباره کیف پول‌های سخت‌افزاری بسیار صریح صحبت کرده است. او قبلاً گفته بود که همه کیف پول‌های سخت‌افزاری «کاملاً بی‌ارزش» هستند و او از آن‌ها برای تراکنش‌های مهم یا نگهداری دارایی استفاده نمی‌کند و پیشنهاد داده بود که به جای آن، یک آیفون جداگانه فقط برای استفاده از کیف پول نگه دارید.