Brevo-Anmeldeschwachstelle ermöglichte Phishing-E-Mail an 347.000 Trezor-Abonnenten

Ein Angreifer nutzte eine Schwachstelle im Anmeldesystem der E-Mail-Plattform Brevo aus und erlangte Zugriff auf 138 Kundenkonten. Dadurch konnte eine Phishing-E-Mail etwa 347.000 Abonnenten des Trezor-Newsletters erreichen; ähnliche betrügerische Nachrichten wurden über Konten des Hardware-Wallet-Herstellers BitBox und der Plattform CoinTracking für Krypto-Portfolio-Tracking und Steuerberichte verbreitet.

In einer am Donnerstag veröffentlichten Aufarbeitung erklärte Brevo, dass sechs Konten zum Versand von Phishing-E-Mails genutzt wurden, Kontakte aus 43 Konten exportiert wurden und 93 Konten keine nennenswerte Aktivität aufwiesen. Die Plattform gab nicht an, ob sich die Kategorien überschnitten. 

Der Angreifer erstellte ein Brevo-Konto, aktivierte Single Sign-on und lud legitime Brevo-Nutzer in die Konfiguration ein. Brevo erklärte, der Zugriff hätte auf diese Organisation beschränkt sein müssen, doch eine Autorisierungsgrenze versagte und gewährte Zugriff auf jede Organisation, die die eingeladenen Nutzer erreichen konnten.

Die Mitteilung ergänzt die am Mittwoch von Trezor und BitBox herausgegebenen Warnungen, benennt ihren gemeinsamen Anbieter und erklärt, warum die E-Mails die üblichen Authentifizierungsprüfungen bestanden und echt wirkten. 

Cointelegraph wandte sich für weitere Informationen an Brevo, erhielt jedoch vor der Veröffentlichung keine Antwort. 

Krypto-Unternehmen prüfen eine mögliche Offenlegung von Abonnentendaten 

In einem Blogbeitrag erklärte Trezor, die Phishing-Nachricht mit dem Titel „Critical Security Alert: STM32 Entropy Vulnerability“ habe einen Link zu einer Anwendung enthalten, die die Wallet-Backups der Nutzer anforderte. Das Unternehmen deaktivierte die Domain innerhalb von 20 Minuten auf DNS-Ebene, doch etwa 2.500 Menschen riefen den Link vor der Abschaltung auf.

Ein Trezor-Sprecher teilte Cointelegraph mit, dass „die ursprüngliche E-Mail an 347.000 Kunden gesendet wurde“ und alle anschließend über das Risiko informiert wurden. Das Brevo-Konto des Unternehmens enthielt ausschließlich E-Mail-Adressen von Nutzern, die den Newsletter abonniert hatten, sowie keine weiteren Kundendaten.

„Bis wir von Brevo weitere Informationen erhalten, behandeln wir alle etwa 347.000 Newsletter-Adressen als dem Angreifer bekannt und möglicherweise für Phishing wiederverwendbar“, sagte der Sprecher.

Verwandt: Liquid Network nimmt Blockproduktion nach Exploit über 320 Millionen US-Dollar wieder auf

Ein BitBox-Sprecher teilte Cointelegraph mit, dass die unbefugte E-Mail über Brevo versendet wurde und offenbar die vollständige Newsletter- und Tutorial-Liste erreicht hatte. 

BitBox erklärte, Brevo habe nur E-Mail-Adressen und Spracheinstellungen gespeichert. Das Unternehmen fand keine Hinweise auf kompromittierte Zugangsdaten des Unternehmens, heruntergeladene Kontakte, verlorene Gelder oder offengelegte Wiederherstellungsphrasen. Es behandelt die Liste jedoch als möglicherweise abgerufen und wartet auf die Protokolle von Brevo.

Unterdessen erklärte CoinTracking, dass sein Brevo-Konto eine E-Mail mit dem Titel „Data Breach Notice: Please refresh API Keys as soon as possible“ verbreitet habe. Die Empfänger wurden gewarnt, den Links in der E-Mail nicht zu folgen.

Magazin: 10 der größten ungelösten Rätsel der Krypto-Welt