币圈界报道：

第三方系统漏洞致Trezor域名被滥用发送钓鱼邮件

全球领先的加密货币硬件钱包制造商Trezor近日通报一起安全事件，指出攻击者通过一名拥有访问权限的第三方服务供应商，成功利用其合法域名发送伪装成官方通知的网络钓鱼邮件。此类邮件因来源域名真实，得以规避常规反欺诈检测机制，显著提升欺骗成功率。

攻击路径溯源：非直接入侵核心系统

调查确认，此次数据泄露并非源于Trezor自身的技术架构缺陷，而是由外部合作方的安全防线被突破所致。攻击者在获取该第三方平台的管理凭证后，得以在不触发内部警报的情况下，向用户邮箱投递高度仿真的虚假信息。

信任机制失效：真实域名加剧识别难度

在传统网络钓鱼攻击中，伪造发件人地址或使用相似拼写域名是常见手法。但本次事件中，邮件实际来自与Trezor关联的正式域名，使得标准的SPF、DKIM和DMARC等身份验证协议均无法识别其为异常，从而大幅增强了攻击的可信度与传播效率。

供应链攻击暴露行业共性风险

这一案例凸显了加密资产基础设施中普遍存在的“链式脆弱性”——即使企业自身具备完善防护体系，一旦其外包服务环节存在疏漏，仍可能成为整个生态系统的突破口。尤其对于处理敏感客户通信的合作伙伴，其安全水平直接决定最终用户的防护边界。

市场反应与用户防范建议

尽管此次事件未波及代币价格或交易平台稳定性，但其对用户信心构成潜在冲击。作为以“离线存储私钥”为核心卖点的硬件钱包品牌，Trezor的声誉与其所承诺的“更高安全性”紧密绑定，任何信任裂痕都可能影响长期用户忠诚度。

行业层面，此事件再次呼吁加强对外部服务商的尽职调查与持续审计机制，特别是那些可访问客户联系方式或账户状态更新接口的合作方。未来，更严格的供应商准入标准和实时监控系统或将成为标配。

Trezor已建议所有持有者对未经请求的电子邮件保持高度警惕，优先通过官网、官方应用或认证客服渠道核实信息真伪，并坚决杜绝任何形式的助记词外泄行为。

事件关键问答解析

此次网络钓鱼攻击的具体经过是什么？

Trezor说明，攻击者利用一个具备其电子邮件系统访问权限的第三方服务商漏洞，生成并发送了冒充官方通知的恶意邮件，邮件内容模拟固件更新或账户验证提示。

是否意味着Trezor自身的系统已被攻破？

明确表示，公司内部系统未遭侵入。当前证据指向第三方服务提供商的安全问题，但具体机构名称尚未公开。

若收到可疑邮件应如何应对？

用户应立即停止点击任何链接，勿输入个人信息或助记词；通过官方渠道独立验证消息内容，切勿依赖邮件中的联系方式进行反馈。

为何该次攻击被认为更具威胁性？

由于邮件源自真实域名，能够顺利通过主流邮件验证协议，使其在外观和合法性上远超普通伪造邮件，极大增加了用户误信概率，属于典型的“高可信度钓鱼”攻击。