比特币钱包制造商Trezor称黑客入侵其电子邮件服务提供商

判断

如果你持有 Trezor，这次要把邮件通知从“可信安全提醒”降级为待验证渠道：任何声称硬件漏洞、要求输入助记词或点固件链接的消息，都改从设备屏幕或官网核对。代价是多一步验证，换掉的是把第三方邮件当权威的习惯。

依据

Trezor表示第三方邮件服务商被入侵，攻击者借该渠道发钓鱼邮件，声称部分设备存在STM32（一种微控制器芯片）硬件漏洞、可削弱恢复助记词；Trezor同时称硬件本身未被攻破。机制上，邮件只是投递通道，真正要撬开的是用户对“安全警告”的默认信任：一旦点链接或填助记词，攻击者就不需要攻破设备。取舍在于，Trezor把外围供应商风险摊到用户验证成本上——用户必须转向官网或设备内确认，而不是继续把邮件通知当可信来源。