如果你也是 Trezor 硬體錢包的用戶，可能會在這幾天收到一封標題為「Critical Security Alert: STM32 Entropy Vulnerability」的信。老實說，這種「緊急安全通知」很容易讓人緊張，畢竟硬體錢包裡放的都是真金白銀。但就在你急著點開連結之前，我想先告訴你這封信背後的真相——這是一封徹頭徹尾的釣魚郵件，而問題根本不在 Trezor 本身。
根據 Cointelegraph 在 2026 年 9 月 11 日的報導，這起事件的源頭是電子郵件行銷平台 Brevo 的登入系統出現漏洞。駭客利用這個漏洞，成功存取 了 138 個企業帳戶，並透過這些帳戶發送了大批釣魚郵件。受影響的不只有 Trezor，還包括硬體錢包品牌 BitBox 以及加密貨幣投資組合追蹤平台 CoinTracking。
攻擊手法解析：Brevo 系統的授權邊界失效
Brevo 在事後的檢討報告中說明，攻擊者先在平台上建立了一個新帳號，並啟用了單一登入（SSO）功能，接著邀請原本的合法用戶加入這個組織。一般來說，這種設計應該只會給予該組織的存取權限，但遺憾的是，授權邊界設定出現了失誤——被邀請的用戶竟然可以存取他們原本所屬的所有組織。這意味著，一旦有 Brevo 用戶接受了邀請，攻擊者就能長驅直入，染指該用戶有權限接觸的全部客戶資料。
在這次事件中，駭客實際使用了 6 個帳戶發送釣魚郵件，並從 43 個帳戶匯出了聯絡人資料。還有 93 個帳戶雖然沒有被大量運用，但同樣暴露在風險中。Brevo 並未說明這些類別是否有重疊，但光是「可以匯出聯絡人」這點，就足以讓大量用戶的電子郵件地址落入攻擊者手中。
受害規模：35 萬 Trezor 訂閱者收到釣魚信
Trezor 官方告訴 Cointelegraph，這封偽造的「安全性警告」郵件確實寄出了大約 34.7 萬封，影響範圍涵蓋了他們所有的電子報訂閱用戶。雖然 Trezor 在收到回報後的 20 分鐘內就封鎖了用於釣魚的網域，但在這段時間內，仍有大約 2,500 人曾經點擊了郵件中的連結。
幸運的是，Trezor 強調他們在 Brevo 平台上儲存的資料僅限於用戶自願訂閱電子報時提供的電子郵件地址，並不包含其他敏感的客戶資訊。也就是說，你的助記詞、錢包地址或個人身份資料並沒有因為這次漏洞而外洩。
不過，Trezor 仍然不敢大意。他們的發言人表示：「在我們收到 Brevo 的進一步說明之前，我們必須將這 34.7 萬個電子郵件地址視為『可能已被攻擊者取得、未來可能會被用於其他釣魚攻擊』的風險名單。」這意味著，未來你可能還會收到更多偽裝成 Trezor 或其他加密貨幣服務的電子郵件。
BitBox 與 CoinTracking 也受波及
同樣使用 Brevo 服務的 BitBox 表示，他們的未經授權郵件似乎已經送達了全部的電子報和教學課程訂閱者。BitBox 強調，平台上僅儲存了電子郵件地址和語言偏好設定，目前沒有發現公司憑證被盜用、聯絡人資料被大量下載、用戶資金損失或助記詞外洩的證據。但他們同樣選擇保守以對，將訂閱名單視為「可能已被存取」的狀態。
至於 CoinTracking（提供加密貨幣投資組合追蹤和稅務申報服務的平台），則是收到了一封標題為「Data Breach Notice: Please refresh API Keys as soon as possible」的偽造郵件。CoinTracking 已經公開警告用戶，千萬不要點擊郵件中的任何連結。
為什麼這封信看起來那麼「真」？
很多人可能會問：這種釣魚郵件難道看不出來嗎？答案可能讓你失望——還真不容易發現。因為這些郵件是透過 Brevo 的正式帳戶發出的，所以它們通過了標準的電子郵件驗證機制，寄件人看起來完全合法。一般的垃圾郵件過濾器很難將其攔截，這也是為什麼這麼多人會上當的原因之一。
攻擊者選擇的標題也很有心機：「STM32 Entropy Vulnerability」聽起來非常技術性，一般用戶看到「Entropy」（熵）這個詞，再加上「Critical Security Alert」的恐嚇語氣，很難不起心動念去點開看看自己的設備是否安全。這種利用「技術恐懼」的手法，在加密貨幣領域的釣魚攻擊中其實並不罕見。
你現在該怎麼做？
如果你曾經收到類似的郵件，以下是我建議的自保步驟：
- 不要點擊任何可疑連結：無論郵件看起來多麼逼真，只要要求你輸入助記詞、錢包備份或 API 金鑰，99% 是假的。
- 啟用雙重驗證（2FA）：如果你還沒在 Trezor 或其他加密貨幣服務上啟用 2FA，現在就是最好的時機。
- 使用硬體錢包的官方驗證管道：有任何安全性疑慮時，直接到 Trezor 官網查詢，或透過官方 Support 管道確認。
- 監控你的電子郵件：由於 34.7 萬個地址可能已經被攻擊者掌握，未來要特別留意任何「包裹領取」、「帳戶驗證」或「安全警告」類型的郵件。
這起事件給我們的啟示
很多人以為只要選對了硬體錢包品牌，資安就万無一失。但這次事件告訴我們，供應鏈的每一個環節都很重要——就算你用的是最頂級的硬體錢包，但如果寄送電子報的第三方平台被攻破，你依然可能暴露在風險中。
對於企業端來說，這也是一個重要的教訓。選擇郵件行銷平台時，不能只看他們的行銷功能有多強大，資安機制和權限控管同樣是不可或缺的評估專案。Brevo 這次的漏洞之所以造成這麼大的影響，正是因為組織之間的授權邊界設定有缺陷，讓攻擊者得以「一魚多吃」。
對我們一般用戶而言，這起事件再次印證了一個老生常談但卻最有效的原則：不要相信任何主動找上門的「安全通知」。真正的安全性問題，官方一定會透過官方網站、官方社群或錢包本身（硬體錢包螢幕）來告知你，而不是透過一封電子郵件。
FAQ 常見問題
Q1: 我收到 Trezor 的「安全警告」郵件，該怎麼確認是不是假的？
最簡單的方式是：不要點擊郵件中的任何連結。直接打開瀏覽器，手動輸入 Trezor 官網網址（trezor.io），登入後查看是否有任何安全通知。或者，你也可以直接聯繫 Trezor 官方客服確認。
Q2: 我點擊了連結但沒有輸入任何資料，有危險嗎？
如果你只是點擊了連結，但沒有在彈出的頁面上輸入助記詞、錢包備份或其他敏感資訊，理論上你的資金應該是安全的。但為了在 2026 年的加密貨幣環境下，建議你更換錢包的核心助記詞，並且密切監控鏈上資金異動。
Q3: 我的電子郵件地址在外洩名單中，會怎麼樣？
攻擊者可能會用你的電子郵件發送更多釣魚郵件，偽裝成其他加密貨幣交易所、DeFi 平台或錢包服務。他們可能會要求你「驗證帳戶」、「領取空投」或「更新錢包」。千萬不要理會這類郵件。
Q4: Brevo 平台上還有哪些加密貨幣公司可能受影響？
根據目前公開的資料，受影響的企業包括 Trezor、BitBox 和 CoinTracking。但 Brevo 平台上還有許多其他加密貨幣相關企業客戶，官方並未完整公布所有受害名單。如果你有使用其他透過 Brevo 寄送電子報的服務，建議保持警覺。
資料來源與利益揭露
本文主要資訊來源為 Cointelegraph 於 2026 年 9 月 11 日的報導，引用了 Trezor、BitBox、Brevo 官方的公開聲明以及 CoinTracking 的公告。本站與上述任何企業均無合作關係，也未接受任何形式的廣告贊助。所有分析觀點均為作者個人意見，不構成任何投資建議。
提醒讀者：由於加密貨幣投資具有高度風險，請在做出任何決定前自行進行獨立研究，並只投入你能夠承受損失的金額。本文提及的任何服務或平台，均不構成推薦或背書。
🔍 相關標籤
#資安 #市場分析
