“Паперовий” тренд: криптошахраї розсилають фішингові листи власникам криптогаманців Trezor та Ledger звичайною поштою — Depositphotos

Останніми днями посилились фішинг-атаки на власників криптогаманців. Зловмисники надсилають фізичні листи, де видають себе за виробників апаратних криптовалютних гаманців Trezor та Ledger, щоб обманом змусити користувачів надавати фрази відновлення.

Паперові Фішингові листи стверджують, що одержувачі повинні пройти обов’язкову “Перевірку автентифікації” або “Перевірку транзакцій”, щоб не втратити доступ до функціональності гаманця, створюючи відчуття терміновості та тиску на жертву для сканування QR-кодів, які ведуть на шкідливі сайти. Користувачі апаратних гаманців отримують листи звичайною поштою (надруковані на фірмовому бланку), які видаються за офіційні комунікації команд безпеки Trezor та Ledger. Оскільки ці гаманці зазнавали витоків даних упродовж останніх кількох років, стала відома контактна інформація клієнтів.

“Перевірка автентифікації незабаром стане обов’язковою частиною Trezor”, і попереджає користувачів завершити процес до 15 лютого 2026 року, інакше вони ризикують втратити функціональність на своїх пристроях. Щоб уникнути будь-яких перебоїв у доступі до Trezor Suite, будь ласка, відскануйте QR-код за допомогою вашого мобільного пристрою та дотримуйтесь інструкцій на нашому вебсайті, щоб активувати Перевірку автентифікації до 15 лютого 2026 року”, – було у фейковому листі Trezor, який отримав експерт із кібербезпеки Дмитро Смілянець

Подібний лист на тему Ledger був опублікований у X, стверджуючи, що “Перевірка транзакцій” незабаром стане обов’язковою, і попереджаючи користувачів відсканувати QR-код для активації функції до 15 жовтня 2025 року, щоб уникнути перебоїв.Сканування QR-кодів веде жертв на фішингові сайти, що видають себе за офіційні сторінки налаштування Trezor та Ledger. На момент написання статті фішинговий домен Ledger офлайн, тоді як фішинговий сайт Trezor досі активний, але вже позначений Cloudflare як фішинговий сайт.

“Примітка: навіть якщо ви вже отримали повідомлення на вашому пристрої Trezor і активували Перевірку автентифікації, завершення цього процесу все одно необхідне для повної активації функції та забезпечення синхронізації вашого пристрою з повною функціональністю Перевірки автентифікації”, — додається у деяких листах.

Фішинговий сайт Trezor відображає попередження, що користувачі повинні завершити перевірку автентифікації до 15 лютого 2026 року. Натискання кнопки “Почати” веде на іншу сторінку, яка попереджає користувачів, що невиконання процесу автентифікації може призвести до обмеженого або заблокованого доступу до Trezor, помилок підписання транзакцій та перебоїв з майбутніми оновленнями Trezor.

“Завершіть налаштування Перевірки автентифікації до 15 лютого 2026 року, якщо ви не купили Trezor Safe 7, Trezor Safe 5, Trezor Safe 3 або Trezor Safe 1 після 30 листопада 2025 року. У цьому випадку він вже попередньо налаштований, і дії не потрібні.,” — йдеться на фішинговому сайті.

Ці попередження створені для додаткового відчуття терміновості, щоб жертви продовжували до наступної частини процесу налаштування. Якщо жертви продовжують, їх перенаправляють на фінальну фішингову сторінку, яка просить ввести фразу відновлення гаманця. Сторінка дозволяє вводити 24-, 20- або 12‑словні фрази відновлення та стверджує, що ця інформація потрібна для перевірки власності пристрою та активації функції автентифікації. Після введення фраза відновлення передається зловмиснику.

Хоча фішингові електронні листи, націлені на користувачів Trezor та Ledger, поширені, кампанії з фізичною поштою залишаються відносно рідкісними. У 2021 році зловмисники надсилали модифіковані пристрої Ledger, призначені для викрадення фраз відновлення під час налаштування. Про подібну поштову фішингову кампанію, націлену на користувачів Ledger, також повідомляли у квітні минулого року.