原文标题：Brevo login flaw enabled phishing email targeting 347K Trezor subscribers
Trezor 告诉 Cointelegraph，该网络钓鱼电子邮件已发送给 347,000 个订阅者，并表示将每个地址视为“攻击者已知且可能可重复用于网络钓鱼”。
攻击者利用电子邮件平台 Brevo 登录系统中的缺陷访问 138 个客户帐户，使网络钓鱼电子邮件能够到达大约 347,000 个 Trezor 时事通讯订阅者，并通过属于硬件钱包制造商 BitBox 和加密货币投资组合跟踪和税务报告平台 CoinTracking 的帐户分发类似的欺诈消息。
在周四的事后分析中，Brevo 表示，有 6 个帐户被用来发送网络钓鱼电子邮件，从 43 个帐户中导出了联系人，其中 93 个帐户没有显示任何有意义的活动。该平台没有具体说明类别是否重叠。
攻击者创建了一个 Brevo 帐户，启用单点登录并邀请合法的 Brevo 用户进入配置。布雷沃表示，访问权限本应仅限于该组织，但授权边界失败，并授予受邀用户可以访问的每个组织的访问权限。
此次披露扩展了 Trezor 和 BitBox 周三发出的警告，指出了他们的共享提供商，并解释了为什么这些电子邮件通过了正常的身份验证检查并且看起来是真实的。
Cointelegraph联系了Brevo以获取更多信息，但在发布之前没有收到回复。
加密货币公司评估潜在的订户风险
Trezor 在一篇博客文章中表示，这条名为“严重安全警报：STM32 熵漏洞”的网络钓鱼消息包含一个请求用户钱包备份的应用程序的链接。该公司在 20 分钟内禁用了 DNS 级别的域，但在删除之前约有 2,500 人访问了该链接。
Trezor 发言人告诉 Cointelegraph，“第一封电子邮件已发送给 347,000 名客户”，随后我们就这一风险与所有客户进行了联系。该公司的 Brevo 帐户仅存储选择加入的新闻通讯电子邮件地址，没有其他客户数据。
该发言人表示：“在我们收到 Brevo 的更多消息之前，我们正在将所有大约 347,000 个时事通讯地址视为攻击者已知的，并且可能可重复用于网络钓鱼。”
BitBox 发言人告诉 Cointelegraph，其未经授权的电子邮件是通过 Brevo 发送的，并且似乎已到达其完整的时事通讯和教程列表。
BitBox 表示 Brevo 仅保留电子邮件地址和语言偏好。它没有发现任何证据表明公司凭证、联系人被下载、资金丢失或恢复短语被泄露，但在等待 Brevo 的日志时，该列表被视为可能被访问。
与此同时，CoinTracking 表示，其 Brevo 帐户分发了一封标题为“数据泄露通知：请尽快刷新 API 密钥”的电子邮件。它警告收件人不要点击电子邮件的链接。