本期拆解一起「反直觉」的钓鱼事件。
数字银行 Revolut 被伪造的政府调证请求骗走护照与比特币交易史；
更严重的是 Trezor：34.7 万订阅者收到真正从 Trezor 自家域名发出的钓鱼邮件。
攻击者没碰 Trezor 系统，而是借邮件商 Brevo 的 SAML 单点登录边界失效，
用合法账号登入、再从 Trezor 域名发信，SPF/DKIM/DMARC 三项认证全过。
2500 人 20 分钟内点击链接，Brevo 于 9 月 10 日封堵通道。
结论：认证通过 ≠ 身份可信；攻击面正从漏洞转向第三方信任边界。
事实依据：Trezor 官方博客、Brevo 官方事故复盘、The Register、TechCrunch。
画面为自制安全示意，非实拍。
