トレザー34.7万人にフィッシングメール ブレボのログイン欠陥悪用、ビットボックスにも被害

メール配信プラットフォーム「ブレボ」のログインシステムにあった欠陥を攻撃者が悪用し、138件の顧客アカウントにアクセスしていたことがわかった。この攻撃により、ハードウェアウォレット大手トレザーのニュースレター購読者約34万7000人にフィッシングメールが送られたほか、同じくハードウェアウォレットを手がけるビットボックス、暗号資産ポートフォリオ管理・税務申告サービスのコイントラッキングのアカウントからも、同様の不正メールが配信された。

ブレボは木曜日に公表した事後報告で、6件のアカウントがフィッシングメールの送信に使われ、43件のアカウントから連絡先がエクスポートされ、93件のアカウントでは意味のある活動は確認されなかったと説明した。ただし、これらの分類が重複しているかどうかは明らかにしていない。

攻撃者はまずブレボのアカウントを作成し、シングルサインオンを有効化。その設定に正規のブレボ利用者を招待した。ブレボによれば、本来ならアクセス権限はその組織内に限定されるべきだった。だが認可の境界が機能せず、招待されたユーザーがアクセス可能だったすべての組織にまで権限が広がってしまったという。

今回の開示は、トレザーとビットボックスが水曜日に出していた警告をさらに詳しく説明するものだ。両社が同じメール配信業者を利用していたこと、そして問題のメールが通常の認証チェックを通過し、本物のように見えてしまった理由が明らかになった。

コインテレグラフはブレボに追加の説明を求めたが、公開時点までに回答は得られなかった。

トレザー、ビットボックス、コイントラッキングが影響を確認

トレザーはブログ投稿で、フィッシングメールの件名が「Critical Security Alert: STM32 Entropy Vulnerability」だったと説明した。メールにはアプリへのリンクが含まれており、そのアプリはユーザーのウォレットバックアップを要求する仕組みだったという。

同社は20分以内にDNSレベルで問題のドメインを無効化した。ただし、停止までに約2500人がリンクにアクセスしていた。

トレザーの広報担当者はコインテレグラフに対し、「最初のメールは34万7000人の顧客に送信された」と説明した。その後、対象者全員にリスクについて連絡したという。同社のブレボアカウントに保存されていたのは、ニュースレター購読に同意したメールアドレスのみで、その他の顧客データは含まれていなかった。

広報担当者はこう述べている。

「ブレボからさらなる説明を受けるまでは、約34万7000件のニュースレター用メールアドレスすべてが攻撃者に知られ、今後のフィッシングに再利用される可能性があるものとして扱っている」

ビットボックスの広報担当者もコインテレグラフに対し、不正メールはブレボ経由で送信され、ニュースレターとチュートリアルの配信リスト全体に届いたとみられると説明した。

ビットボックスによれば、ブレボに保存されていたのはメールアドレスと言語設定のみだった。同社は、会社の認証情報が侵害された証拠、連絡先がダウンロードされた証拠、資金が失われた証拠、リカバリーフレーズが漏えいした証拠は確認していないという。ただし、ブレボのログを待つ間、リストはアクセスされた可能性があるものとして扱っている。

一方、コイントラッキングは、自社のブレボアカウントから「Data Breach Notice: Please refresh API Keys as soon as possible」という件名のメールが配信されたとXで明らかにした。同社は受信者に対し、メール内のリンクを開かないよう警告している。