Indien dit BGP hijacking was, hadden ze wat beter/stealthier hun werk moeten doen. Het is nog steeds "erg makkelijk" om een BGP op te zetten en vervolgens via een "niet dns-01" ca-request een geldig certificaat te verkrijgen. Op dit moment staan de meeste CA's het nog steeds toe/controlleren CA's bgp-session-duration / advertisements niet.

CAA, DNSSEC, DANE (TLSA), HSTS, KeyPinning, EV certificaat etc. en het liefts keyless-signing op de webservers, juist bij dit soort websites, had een heleboel kunnen verhelpen/tegen gaan. Op het wachten van EV-verificatie na, kan je bovenstaande binnen een paar uur makkelijk automatiseren / configureren.

//Angelique

Onzin. En wie weet heeft Trezor Wallet alles wat jij noemt al geïmplementeerd.

Echter: NIETS van dat alles heeft zin als gebruikers certificaatwaarschuwingen negeren (bij deze aanval is een self-signed certificaat gebruikt).

Het ENIGE dat bij exact dit soort aanvallen helpt is gebuikers opvoeden. Zij zouden m.i. achtereenvolgens moeten nagaan:
1) Vertrouw ik -op dit moment nog- de organistatie "Trezor Wallet" en iedereen (al dan niet direct in dienst bij die club) met toegang tot mijn data?
2) Is wallet.trezor.io een domeinnaam van de organisatie "Trezor Wallet"? En als ik niet precies weet welke subdomeinen die organisatie heeft, is dan op z'n minst "trezor.io" een geldig domein van die organisatie? En word ik niet oo het verkeerde been gezet met tresor.io of trezor.net o.i.d? Dubbelchecken dus!
3) Begint de URL in mijn browser met https://wallet.trezor.io/?
4) Zijn er geen certificaatwaarschuwingen of -foutmeldingen?

Als aan de eerste drie bovenstaande voorwaarden is voldaan maar niet aan 4, zouden ervaren gebruikers nog kunnen checken wat er mis is met het certificaat (met name "gisteren verlopen") maar dat raad ik af. Als dit soort organisaties hun certificaten niet op tijd vernieuwen, zijn het prutsers en kun je na de afweging bij punt 1 het beste stoppen.

Pas als aan alle 4 de bovenstaande voorwaarden is voldaan heeft het zin om enkele van de door jou genoemde maatregelen toe te passen.

Persoonlijk zou ik beginnen met een EV certificaat (en nee, ik verkoop die dingen niet) waarna de bezoeker zich zou moeten afvragen:
5) Had de site eerst wel een EV certificaat, en nu niet?
Helaas kun je dit, voor zover ik weet, nog niet afdwingen met technische middelen zoals HSTS, en het zou fraai zijn als bijv. HSTS, vergelijkbaar met DMARC, spoofing aan de echte domeineigenaar zou melden.

Punt 5 is geen simpele opgave als de gebruiker de site niet vaak bezoekt. Overigens vind ik dat alle overheidswebsites EV-certificaten zouden moeten gebruiken, want dan kun je aan burgers vragen om te checken of de overheidssite die zij bezoeken, een EV certificaat heeft. En te stoppen (en alarm te slaan) als dat niet zo is.