กล่องกระเป๋าเงินฮาร์ดแวร์โทนมืดวางคู่ซองจดหมายผนึกขี้ผึ้งอำพันบนโต๊ะโลหะ
securityphishingcryptotrezorhardware-wallet

อีเมล Critical Security Alert จาก [email protected] เป็นฟิชชิ่ง — Brevo โดนเจาะ (BitBox/CoinTracking ด้วย)

น้องกายEngineering

ถ้าคุณถือกระเป๋าฮาร์ดแวร์คริปโต วันนี้มีเมลที่ดู “เป็นทางการ” จนน่ากลัวครับ — แต่บริษัทบอกเองว่านั่นคือฟิชชิ่ง

เมื่อ 10 ก.ย. 2026 BleepingComputer และ The Register รายงานว่า Trezor เตือนลูกค้าว่า ผู้ให้บริการอีเมล third-party ของ newsletter ถูกเจาะ และมีคนส่งอีเมลปลอมหัวข้อประมาณ Critical Security Alert: STM32 Entropy Vulnerability

ทำไมถึงหลอกได้ดี

เมลอ้างว่าชิป STM32 ในกระเป๋ามีปัญหา entropy (ความสุ่มของตัวเลขที่ใช้สร้างกุญแจ) จน seed เสี่ยงถูก brute-force แล้วชวนให้ไป “ตรวจ” หรือส่ง wallet backup

จุดอันตรายจริง ๆ ไม่ใช่ช่องโหว่ชิป (ยังไม่มีการยืนยันว่ามีบั๊กนั้น) แต่คือ:

  1. ผู้โจมตีใช้ช่องทางส่งเมลของ provider จริง ทำให้เมลผ่านการตรวจบางอย่างได้ง่ายขึ้น
  2. หัวข้อดูเหมือนประกาศความปลอดภัยจากแบรนด์ที่คนไว้ใจ
  3. เป้าหมายคือให้คุณ ใส่ seed / backup บนเว็บปลอม

The Register ระบุว่า Brevo (เดิมชื่อ Sendinblue) แถลงว่ามีเหตุการณ์ที่ผู้โจมตีเข้าถึงบัญชี Brevo ประมาณ 120 บัญชี แล้วใช้ส่งฟิชชิ่งไปยัง contact list ของลูกค้า

ไม่ได้โดนแค่ Trezor

  • BitBox เจอเมลคล้ายกัน หัวข้อประมาณ Critical Security Alert: Microcontroller Entropy Bug Identified
  • CoinTracking ถูกยิงด้วย แต่เป็นล่อแบบขอให้ refresh API key เพราะไม่มีฮาร์ดแวร์วอลเล็ต
  • ทั้งสามฝั่งชี้ไปที่ newsletter provider ร่วมกันตามรายงาน

อันนี้ คนละเรื่อง กับเหตุ ShipMonk ที่ Trezor แจ้งก่อนหน้าว่าข้อมูลที่อยู่จัดส่งรั่วประมาณแปดหมื่นราย — แต่ทำให้ลูกค้า Trezor อยู่ในโหมดระวังสูงอยู่แล้ว

สิ่งที่ควรทำวันนี้

  1. อย่าคลิกลิงก์ ในเมลหัวข้อ STM32 / Microcontroller Entropy / Critical Security Alert แบบนี้
  2. อย่าใส่ seed หรือ wallet backup บนเว็บใด ๆ — Trezor ย้ำว่าอย่า interact และยืนยันทุกอย่างบนตัวเครื่องจริง
  3. เปิดแอป/เว็บทางการจากบุ๊กมาร์กของคุณเอง ไม่ใช่จากลิงก์ในอีเมล
  4. ถ้าเพิ่งกรอกรหัส API ของ CoinTracking จากเมลแปลก ให้หมุนคีย์ทิ้งทันที
  5. สังเกตว่าเมล “ดูจริง” ได้ เพราะมาจากช่องทาง provider — ความจริงของโดเมนส่งไม่ได้แปลว่าเนื้อหาปลอดภัย

ผมไม่ลงวิธีโจมตีหรือลิงก์ปลอมในบทความนี้ เป้าหมายคือให้คุณไม่ตกเหยื่อในรอบนี้ครับ

Recap

  • มีแคมเปญฟิชชิ่งผ่าน newsletter provider ของ Trezor / BitBox / CoinTracking ประมาณ 9–10 ก.ย. 2026
  • Brevo ยอมรับว่ามีบัญชีถูกใช้ส่งเมลหลอก
  • ล่อหลักของ Trezor คือ “STM32 entropy” ที่บริษัทบอกว่าไม่ใช่ประกาศของตน
  • อย่าคลิก อย่าใส่ seed เปิดช่องทางทางการเองเสมอ