Brevo登录漏洞致Trezor 34.7万订阅者收到钓鱼邮件，BitBox和CoinTracking账户亦受影响

电子邮件平台 Brevo 登录系统漏洞导致攻击者访问 138 个客户账户，并向约 34.7 万名 Trezor 新闻通讯订阅者发送钓鱼邮件。BitBox 和加密货币投资组合及税务报告平台 CoinTracking 的账户也被用于发送类似诈骗邮件。

Trezor 表示，钓鱼邮件标题为“Critical Security Alert: STM32 Entropy Vulnerability”，其中链接指向要求用户提交钱包备份的应用。Trezor 在 20 分钟内通过 DNS 禁用相关域名，但约 2500 人曾访问该链接，并已向全部 34.7 万名订阅者提示风险。

Brevo 表示，攻击者利用单点登录配置权限边界失效，访问了所有受邀用户可触达的组织。其中 6 个账户被用于发送钓鱼邮件，43 个账户的联系人数据被导出；BitBox 和 CoinTracking 表示，目前未发现公司凭据、资金或恢复短语泄露，但将相关邮件地址视为可能已被访问。（Cointelegraph）