2024年1月17日，知名加密货币硬件钱包制造商Trezor披露了一起数据泄露事件，约有66,000名用户的信息可能遭到未经授权的访问。这些用户均曾在2021年12月之后联系过Trezor的客户支持团队。Trezor在一份安全公告中表示，攻击者利用第三方客服工单系统的漏洞，获取了用户的电子邮件地址以及姓名或昵称。尽管Trezor的硬件设备本身并未被攻破，且没有用户资金被盗，但该公司警告称，攻击者已开始利用这些信息发起针对性的网络钓鱼（Phishing）攻击，试图骗取用户的恢复种子（Recovery Seed）。
事件详情：第三方系统成为突破口
据Trezor官方透露，此次事件发生在1月17日，攻击者未经授权访问了Trezor合作的第三方客服工单平台。Trezor强调，泄露仅限于“该第三方服务提供商层面”，目前尚未收到该供应商关于泄露范围的确切确认。出于谨慎考虑，Trezor在收到漏洞通知后的一个小时内，便向所有可能受影响的66,000名用户发送了电子邮件通知。此外，Trezor还直接联系了41名已收到攻击者发送的钓鱼邮件的用户，这些邮件要求用户提供敏感的恢复种子信息。
Trezor在声明中安抚用户：“我们要强调的是，此次事件中没有任何用户的资金受到损害。您的Trezor设备今天和昨天一样安全。”尽管如此，该公司承认，依赖第三方供应商带来了固有的安全风险，并表示正在积极解决这一问题。
攻击手法与社会工程学陷阱
网络钓鱼攻击通常利用社会工程学手段，精心设计看似来自官方渠道的邮件或链接，诱骗用户泄露敏感信息。攻击者会模仿官方标识和措辞，制造紧迫感，例如声称“账户存在异常，请立即验证恢复种子”，从而使用户在惊慌中落入陷阱。Trezor提醒用户，恢复种子应始终只在Trezor硬件设备本身上输入，绝不可在任何网页、邮件或第三方应用中透露。
值得一提的是，这并非加密货币行业首次遭遇类似的钓鱼攻击。2024年1月9日，美国证券交易委员会（SEC）的官方X账户就曾因SIM卡交换攻击而被盗，发布了一条关于比特币现货ETF获批的虚假消息，引发市场剧烈波动。这一事件再次凸显了平台安全和用户防范意识的重要性。
市场影响与用户应对建议
尽管Trezor的资金安全机制经受住了考验——私钥始终离线存储在硬件中，但信息泄露事件仍可能对用户信任造成短期冲击。在事件公开后，部分社区用户表达了对支持系统安全性的担忧。分析人士指出，此次事件对Trezor的品牌声誉构成了一定风险，但并未影响硬件钱包本身的安全性，因此对加密货币市场整体影响有限。然而，对于被针对的个体用户而言，如果未能识别钓鱼邮件，可能会面临资产被盗的重大损失。
Trezor建议所有用户（无论是否收到通知）采取以下措施：1）不要点击任何声称来自Trezor的链接，确认邮件真伪请直接访问官网；2）切勿向任何人或任何网站提供您的恢复种子；3）启用硬件钱包的PIN码和密码短语（Passphrase）功能；4）对任何要求紧急操作的信息保持警惕，通过官方渠道核实。 此外，用户还可以丢弃可疑电子邮件，并向相关安全机构举报。
此次事件再次提醒我们，在Web3世界，安全不仅仅依赖于硬件技术，用户自身的抗钓鱼素养同样至关重要。保持警惕，是保护数字资产的第一道防线。