如果你有訂閱 Trezor 的電子報，最近可能收到他們的通知——你的 Email 可能已經外洩。老實說，這不是什麼小打小鬧的資安事件，而是34.7萬人同時暴露在網路釣魚風險中的大規模漏洞。事情是怎麼發生的？讓我們拆開來看。
攻擊怎麼發生的？Brevo 系統漏洞詳解
這次問題出在郵件行銷平台 Brevo 的登入系統。根據 Brevo 在 9 月 11 日發布的事後檢討報告，攻擊者先在 Brevo 上建立了一個帳戶，然後啟用了單一登入（SSO）功能，並邀請原本正當的 Brevo 用戶進入這個設定。
問題來了——原本這個授權應該只限於那個新建立的組織，但 Brevo 的授權邊界檢查失敗了，導致攻擊者可以存取這些被邀請用戶能觸及的所有組織。也就是說，只要一個帳號被騙，整個平台的客戶資料都可能被打開。
最終攻擊者成功存取 了 138 個客戶帳戶，其中 6 個帳戶被用來發送網路釣魚郵件，43 個帳戶的聯絡人資料被匯出，另外 93 個帳戶則顯示沒有明顯活動。
誰受害了？Trezor、BitBox、CoinTracking 都中招
Trezor 硬體錢包用戶
Trezor 是加密貨幣硬體錢包的知名品牌，這次有 34.7 萬名電子報訂閱者的 Email 被暴露。攻擊者發送的網路釣魚郵件標題是「Critical Security Alert: STM32 Entropy Vulnerability」（重要安全警訊：STM32 熵值漏洞），內容要求用戶點擊連結並輸入錢包備份資料。
還好 Trezor 在 20 分鐘內火速封鎖了該網域，但已經有大約 2,500 人點擊了連結。Trezor 明確表示：「在收到 Brevo 更多資訊前，我們將把這 34.7 萬個電子報地址視為可能已被攻擊者掌握，之後可能會被用來進行網路釣魚。」
BitBox 與 CoinTracking
不只 Trezor，BitBox（另一家硬體錢包公司）的電子報和教學影片訂閱者也收到了未經授權的郵件。BitBox 強調他們在 Brevo 平台上只儲存了 Email 和語言偏好，目前沒有發現公司憑證被竊、聯絡人資料被下載、资金损失或恢復詞外洩的證據，但同樣不敢大意，已將訂閱列表視為「可能已被存取」。
至於加密貨幣投資組合追蹤與報稅平台 CoinTracking，也透過 Brevo 發出了標題為「Data Breach Notice: Please refresh API Keys as soon as possible」的假郵件，警告用戶不要點擊郵件中的連結。
為何這次攻擊這麼容易得逞？
這次事件特別值得注意的地方在於，網路釣魚郵件通過了正常的認證檢查，看起來就像 Trezor 或 BitBox 官方發出的真實郵件。這是因為攻擊者是從正當的 Brevo 帳戶發信，郵件Header、SPF、DKIM 等技術檢查都會通過，一般用戶很難用肉眼分辨。
另外，攻擊者利用了「供應鏈攻擊」的概念——不直接攻擊目標，而是攻擊目標信任的服務商，然後透過這個信任關係來搞垮一堆人。這種手法這幾年在資安領域越來越常見。
我可以做什麼？實際的自保步驟
無論你有沒有收到這次事件的通知，以下幾件事現在就可以做：
- 不要點擊任何聲稱來自 Trezor、BitBox 或其他加密貨幣服務的「緊急安全通知」連結，尤其是要求你輸入助記詞、錢包備份或 API 金鑰的郵件。
- 直接到官方網站登入，不要從郵件連結進去。如果真的擔心有問題，親自輸入網址或從書籤進入。
- 開啟雙因素認證（2FA），硬體錢包用戶務必啟用額外的安全驗證。
- 考慮更換電子郵件地址，如果你原本的 Email 已經在這次事件中暴露，未來可能會收到更多針對加密貨幣用戶的網路釣魚郵件。
- 檢查最近的登入活動，看看錢包或交易所有沒有異常的登入紀錄。
FAQ 常見問題
Q: 我沒有收到 Trezor 的通知，是不是就沒事？
不一定。這次事件影響的是 Brevo 平台上的訂閱者資料庫，如果你有訂閱 Trezor 的電子報，應該已經收到通知。沒收到可能是 Email 填寫不同、保存在其他地方，或是被歸類為垃圾郵件。保守起見，假設自己可能受到影響會比較安全。
Q: 我有點擊那個連結怎麼辦？
如果你已經輸入任何資料，立即將錢包內的資產轉移到新的錢包，並更換所有的 API 金鑰和私鑰。然後儘快聯繫 Trezor 官方客服（記得是透過官方網站，不要用郵件裡的連結），讓他們知道這件事。
Q: 以後還能相信電子報嗎？
不是說不能信，而是要改變驗證習慣。任何要求你輸入敏感資料的郵件，都應該先懷疑、再求證。真正的官方單位不會在郵件裡要你直接輸入助記詞或錢包密碼。
資料來源與利益揭露
本文主要資訊來自 Cointelegraph 2026年9月11日的報導，以及 Trezor、BitBox 官方部落格的說明。Brevo 方面在事發後發布了技術性的事後檢討報告，但截至發稿前尚未回應 Cointelegraph 的進一步詢問。本站與文中提及的任何平台均無合作關係，無接受任何形式的聯盟行銷或廣告贊助。
提醒讀者：加密貨幣投資有風險，網路釣魚手法千變萬化，本文僅提供資訊分享，不構成投資建議。進行任何操作前請自行多方查證，並承擔個人決策的責任。
🔍 相關標籤
#資安 #比特幣
