要点
此次入侵涉及 Trezor 的电子邮件提供商。
该访问权限使攻击者能够发送虚假的安全警报。
漏洞位于电子邮件提供商，而非设备本身
据报道，此次事件的核心是 Trezor 的电子邮件提供商，即处理该公司外发信息的第三方。在所述事件中，遭到入侵的是该提供商，而非硬件钱包本身。相关报道请参阅《Trezor Safe 7 搭载量子安全增强功能发布》。
已确定的后果狭窄且具体：该访问权限使攻击者能够向收件人发送虚假的安全警报。这是所提供信息确认的关于该漏洞如何被利用的全部范围。相关报道请参阅《加密货币钱包数据泄露暴露近 40,000 条记录》。
此处未确立提供商名称、事件日期、访问方法、受影响收件人数量、泄露数据或损失，也不应假设存在这些信息。同样，所述事件并未证实 Trezor 硬件、钱包软件、私钥或用户资金遭到入侵，也未证明它们是安全的。Trezor 此前曾不得不在消息相关泄露后警告用户，其中包括一起数据泄露事件，导致 14,000 名用户被列入网络钓鱼警报名单。
为何“安全警报”是有效的诱饵
攻击者发送的消息被描述为虚假的安全警报。将欺诈性电子邮件包装成安全警告之所以有效，正是因为它借用了用户期望来自钱包供应商的语气，促使收件人迅速行动而非暂停思考。
由于未提供邮件样本、发件人地址、嵌入链接、要求的操作或受害者账户，因此无法重构这些特定邮件的运作机制。作为一般警示信号，网络钓鱼邮件通常会制造紧迫感、索要凭证或包含恶意链接，但这些是广泛存在的模式，而非这些特定警报已确认的特征。
根据美国联邦贸易委员会的消费者指南，攻击者通常会冒充受信任的公司，并声称账户或支付存在问题。Trezor 本身也曾单独发出过关于冒充行为的警告，包括在出现网络钓鱼担忧时出现的虚假支持电话号码。
如何处理可疑的 Trezor 安全电子邮件
以下为一般性预防措施，并非针对此处未详述的此次事件的官方回应。这些措施适用于任何自称是 Trezor 安全警报的信息。
在采取任何行动之前，请通过独立访问的官方渠道验证任何警报，亲自输入地址而不是点击链接。避免点击可疑消息中的链接和附件，在任何情况下都切勿通过电子邮件透露钱包恢复助记词或私钥。
收到电子邮件本身并不能证明资金已遭泄露，也不应仅凭该警报就转移资金。在诸如虚假反洗钱（AML）检查器等案例中看到的欺诈性批准模式，诱骗用户进行导致钱包资金被掏空的批准操作，这突显了为何对未经请求的行动提示需要进行独立验证。
对于比特币持有者而言，这一事件提醒人们，自托管的安全性取决于签名设备的完整性和助记词的保密性，即使供应商的周边系统遭到入侵，这两者仍由用户控制。比特币网络自身的结算保障建立在工作量证明之上，并由每个全节点独立验证，不受公司电子邮件供应商遭入侵的影响。
其他来源参考：source document 1。
免责声明：本文仅供参考，不构成财务或投资建议。加密货币和数字资产市场存在重大风险。在做出决定之前，请务必自行研究。
Bitcoininfonews 首先发表了题为《Trezor 电子邮件提供商遭入侵导致虚假安全警报》的文章。