Trezor Kullanıcılarına Gerçek Adresten Sahte E-posta Gönderildi: 347 Bin Kişi Phishing Saldırısının Hedefi Oldu

Kripto para dünyasında sık sık karşılaştığımız phishing saldırıları, bu kez alışılmış yöntemlerin dışına çıkarak çok daha tehlikeli bir boyuta ulaştı. Donanım cüzdanı üreticisi Trezor’un yaklaşık 347 bin bülten abonesine, şirketin gerçekten kullandığı e-posta altyapısı üzerinden sahte bir güvenlik uyarısı gönderildi.

Saldırının dikkat çekici tarafı ise mesajların sahte bir gönderici adresinden değil, Trezor’un gerçek e-posta gönderim sisteminden çıkmış olmasıydı. Bu nedenle klasik olarak önerilen “gönderen adresini kontrol edin” yöntemi tek başına saldırıyı tespit etmek için yeterli olmadı.

Trezor, olayın kendi sistemlerinin doğrudan ele geçirilmesinden değil, şirketin e-posta pazarlama hizmeti aldığı Brevo’daki güvenlik açığından kaynaklandığını açıkladı. Brevo tarafından yayımlanan olay sonrası incelemeye göre saldırgan toplam 138 müşteri hesabına erişim sağladı. Bunlardan altısı doğrudan phishing e-postaları göndermek için kullanıldı.

Sahte “STM32 güvenlik açığı” uyarısı gönderildi

Saldırı 9 Eylül 2026 tarihinde gerçekleşti. Trezor’un resmi açıklamasına göre şirketin yaklaşık 347 bin kişilik izinli bülten veritabanı olaydan etkilendi.

Kullanıcılara gönderilen mesajın konu satırında “Critical Security Alert: STM32 Entropy Vulnerability” ifadesi yer alıyordu. E-postada Trezor cihazlarında kritik seviyede bir rastgele sayı üretimi sorunu bulunduğu izlenimi veriliyor ve kullanıcıların cüzdanlarını korumak için verilen bağlantıyı takip etmesi isteniyordu.

Ancak söz konusu güvenlik açığı gerçek değildi. Sahte sayfa üzerinden kullanıcılardan donanım cüzdanlarının kurtarma kelimelerini, yani wallet backup/recovery phrase bilgilerini paylaşmaları talep ediliyordu.

Bir donanım cüzdanının kurtarma kelimelerinin saldırgana verilmesi, cüzdanın fiziksel cihazına ihtiyaç duyulmaksızın başka bir ortamda yeniden oluşturulmasına imkan verebilir. Bu nedenle recovery phrase bilgisi ele geçirilen kullanıcıların varlıklarının tamamı risk altına girebilir.

Trezor, şirketin hiçbir zaman kullanıcılardan wallet backup veya kurtarma kelimelerini istemeyeceğini özellikle vurguluyor.

E-posta neden tamamen gerçek görünüyordu?

Normal phishing saldırılarında kullanıcıların ilk kontrol ettiği detaylardan biri gönderici adresidir. Şüpheli alan adları, yazım hataları veya gerçek markaya benzeyen sahte adresler çoğu saldırıyı ele verebilir.

Bu olayda ise durum farklıydı.

Saldırganlar doğrudan Trezor’un e-posta pazarlama hizmeti aldığı Brevo altyapısına ait müşteri hesaplarına eriştiği için, mesajlar markaların meşru e-posta sistemleri üzerinden gönderilebildi.

Brevo’nun olay sonrası yaptığı teknik incelemeye göre saldırgan, platformun SAML tabanlı Single Sign-On (SSO) sistemindeki yetkilendirme sorunundan yararlandı.

Saldırgan önce kendi Brevo hesabını oluşturdu ve SSO yapılandırmasını etkinleştirdi. Ardından gerçek Brevo kullanıcılarını bu yapılandırmaya davet etti. Sorun ise erişim yetkisinin yalnızca ilgili organizasyonla sınırlı kalmamasıydı.

Brevo’nun açıklamasına göre erişim doğru şekilde kapsamlandırılmadığı için, saldırgan davet edilen kullanıcıların erişebildiği diğer organizasyonlara da ulaşabildi.

Bu tür bir saldırı, klasik kimlik avı yöntemlerinden daha tehlikeli kabul ediliyor. Çünkü kullanıcı tarafında birçok güvenlik kontrolü normal görünebiliyor.

Brevo: 138 müşteri hesabına erişildi

Brevo ilk açıklamasında yaklaşık 120 müşteri hesabının etkilendiğini belirtmişti. Şirketin daha sonra yayımladığı kapsamlı incelemede ise saldırganın 138 müşteri hesabına eriştiği açıklandı.

Brevo’nun verdiği bilgilere göre:

• 6 hesap, doğrudan phishing e-postaları göndermek için kullanıldı.
• 43 hesaptan, kayıtlı iletişim listeleri dışa aktarıldı.
• 93 hesapta ise anlamlı bir kötü niyetli faaliyet tespit edilmedi.

Brevo, güvenlik problemini 10 Eylül 2026 tarihinde saat 06.30 UTC civarında tespit ettiğini, saldırganın kullandığı erişim yönteminin ise yaklaşık iki saat sonra kapatıldığını bildirdi. Platformdaki kullanıcı oturumları da güvenlik amacıyla sonlandırıldı.

Şirket ayrıca olay sırasında müşterilerin kendilerine emanet ettiği hedef kitle verilerini korumakta başarısız olduklarını kabul etti.

SPF, DKIM ve DMARC kontrolleri neden saldırıyı engelleyemedi?

Bu olay aynı zamanda e-posta güvenliğinde sık kullanılan SPF, DKIM ve DMARC gibi doğrulama yöntemlerinin sınırlarını da gösteriyor.

Bu sistemler temel olarak bir mesajın gerçekten yetkili bir sunucudan gönderilip gönderilmediğini kontrol ediyor.

Ancak saldırgan zaten yetkili e-posta altyapısına eriştiğinde, teknik doğrulama sistemleri açısından mesaj gerçek bir gönderim gibi görünebilir.

Dolayısıyla bu saldırıda problem bir alan adı taklidi değil, meşru gönderim altyapısının yetkisiz şekilde kullanılmasıydı.

Bu durum kullanıcıların yalnızca gönderici adresine veya e-posta doğrulama göstergelerine güvenmemesi gerektiğini gösteriyor.

BitBox ve CoinTracking kullanıcıları da hedef oldu

Brevo saldırısından yalnızca Trezor etkilenmedi.

İsviçre merkezli donanım cüzdanı üreticisi BitBox da aynı altyapıyı kullanan şirketlerden biri. BitBox’ın resmi sitesinde şirketin e-posta pazarlama hizmeti için Brevo kullandığı açık şekilde belirtiliyor.

BitBox kullanıcılarına yönelik saldırılarda da benzer şekilde sahte bir donanım güvenlik problemi öne sürüldü.

Kripto para portföy takip ve vergi raporlama platformu CoinTracking ise farklı bir saldırı senaryosuyla hedef alındı.

CoinTracking tarafından 9 Eylül’de yayımlanan güvenlik duyurusuna göre kullanıcılara:

“Data Breach Notice: Please refresh API Keys as soon as possible”

başlıklı sahte bir mesaj gönderildi.

Mesajda kullanıcıların API anahtarlarını yenilemesi isteniyordu. CoinTracking bunun bir phishing saldırısı olduğunu doğrulayarak kullanıcılardan bağlantılara tıklamamalarını ve API anahtarlarını paylaşmamalarını istedi.

Şirket ayrıca saldırı sonucunda bilgi paylaşan kullanıcıların şifrelerini değiştirmesini ve borsa API anahtarlarını doğrudan ilgili kripto para borsasından iptal edip yenilemesini tavsiye ediyor.

Phishing e-postasına tıkladıysanız ne yapmalısınız?

Trezor’un açıklamasına göre yalnızca bağlantıya tıklamak, tek başına cüzdanın ele geçirilmesi anlamına gelmiyor.

Asıl kritik risk, saldırgan tarafından hazırlanan uygulama veya web sayfasına wallet backup ya da recovery phrase bilgilerinin girilmesiyle ortaya çıkıyor.

Eğer kurtarma kelimelerinizi sahte uygulamaya girdiyseniz bu bilgilerin artık güvenli olduğunu varsaymamak gerekiyor.

Bu durumda yapılması gereken en güvenli işlem, yeni ve güvenilir bir cüzdan oluşturularak mevcut kripto varlıkların yeni oluşturulan kurtarma kelimelerine sahip cüzdana taşınmasıdır. Trezor da benzer şekilde recovery bilgilerinin paylaşıldığı durumlarda fonların yeni bir cüzdana aktarılmasını öneriyor.

CoinTracking tarafında ise sahte sayfaya API bilgilerini giren kullanıcıların ilgili borsadaki API anahtarlarını iptal edip yenilerini oluşturması gerekiyor.

Gerçek bir e-postayı phishing saldırısından nasıl ayırt edebilirsiniz?

Trezor vakası, yalnızca gönderen adresini kontrol etmenin artık yeterli olmadığını açık biçimde gösteriyor.

Özellikle kripto para hesaplarında veya finansal servislerde gelen e-postanın ne istediğine dikkat etmek çok daha önemli.

Bir şirket sizden aşağıdaki bilgileri e-posta üzerinden veya e-postadaki bir bağlantı aracılığıyla istiyorsa mesaj son derece şüpheli kabul edilmeli:

Recovery phrase, seed phrase, wallet backup, özel anahtar, parola, iki faktörlü doğrulama kurtarma kodu veya kritik API anahtarı.

Donanım cüzdanlarında recovery phrase mümkün olduğunca internet bağlantılı cihazlara girilmemeli ve hiçbir kişi ya da destek çalışanıyla paylaşılmamalı.

Şüpheli bir güvenlik uyarısı geldiğinde e-postadaki bağlantıya tıklamak yerine şirketin adresini tarayıcıya manuel olarak yazarak resmi web sitesi veya resmi uygulaması üzerinden duyuruyu kontrol etmek daha güvenli bir yöntem.

Trezor kısa süre önce başka bir veri ihlaliyle de gündeme gelmişti

Brevo saldırısı, Trezor kullanıcılarını ilgilendiren son dönemdeki tek üçüncü taraf güvenlik problemi değil.

Trezor, ağustos ayında lojistik hizmet sağlayıcısı ShipMonk tarafında yaşanan veri ihlali nedeniyle bazı müşterilerin kişisel bilgilerinin açığa çıktığını duyurmuştu.

Şirketin 4 Eylül 2026 tarihinde güncellediği açıklamaya göre ShipMonk olayından toplam 80.689 müşteri etkilendi.

Sızdırılan bilgiler arasında bazı müşteriler için isim, e-posta adresi, telefon numarası ve teslimat adresi gibi veriler bulunuyordu. Trezor, bu olayda da kendi donanım cüzdanlarının veya şirket sistemlerinin doğrudan ele geçirilmediğini belirtti.

Brevo ve ShipMonk olaylarının birbirinden bağımsız olduğu belirtilse de iki vaka da teknoloji şirketlerinin yalnızca kendi sistemlerini değil, kullandıkları üçüncü taraf hizmetlerin güvenliğini de yakından takip etmesi gerektiğini gösteriyor.

Kullanıcılar için en önemli kural değişmedi

Trezor saldırısının en önemli sonucu, bir e-postanın gerçek bir adresten gelmesinin içeriğin de gerçek olduğu anlamına gelmediğini göstermesi oldu.

Özellikle kripto para dünyasında en güvenli yaklaşım hâlâ oldukça basit:

Recovery phrase, seed phrase veya özel anahtarınızı hiçbir kişiyle paylaşmayın ve e-posta üzerinden yönlendirildiğiniz bir siteye girmeyin.

Bir mesaj ne kadar profesyonel görünürse görünsün, sizden cüzdanınızı yeniden oluşturmayı sağlayacak gizli bilgileri talep ediyorsa bunun meşru bir güvenlik işlemi olma ihtimali son derece düşüktür.