Trezorは2026年9月9日（水）、ハッカーが第三者メールプロバイダーを悪用して偽のセキュリティ通知を配信したことをユーザーに警告した。しかし、Trezorウォレットはこの攻撃の影響を受けなかった。犯罪者が標的にしたのは、ソフトウェアよりも守るのが難しいもの、すなわち信頼できるプロバイダーからのメールに対するユーザーの信頼だった。
警告の件名は「Critical Security Alert: STM32 Entropy Vulnerability」というものだった。メッセージには、Trezorのエンジニアが同社製品に使用されているSTM32チップに設計上の欠陥を発見したと記載されていた。Decryptは、Trezorがこのメッセージを偽物と認識し、読者にリンクをクリックしないよう警告したと報じた。
実在のアドレスから送信された偽の欠陥 このキャンペーンを効果的にしたのは、捏造された脆弱性ではなく、メールの受信方法だった。ある受信者は、メールがhelp@trezor.ioから送信され、Sendinblueのキャンペーンパスを経由し、DKIM、SPF、DMARCのチェックを通過したことを明らかにした。
この警告は、4台に1台のデバイスが侵害される可能性があり、リカバリーフレーズに十分なランダム性またはエントロピーがない可能性があると指定していた。この表現は、最近のColdcard攻撃で説明された問題と非常