Der Hersteller von Hardware-Kryptowallets Trezor hat das Datenleck bei fast 14 000 Kunden bestätigt. Der Vorfall ereignete sich nicht in der Infrastruktur von Trezor selbst, sondern bei dem Logistikpartner ShipMonk, der für die Auslieferung der Geräte zuständig ist. Kompromittiert wurden die vollständigen Namen, E-Mail-Adressen, Telefonnummern und Lieferadressen von 11 742 Käufern, bei weiteren 1 947 Personen sind Namen, E-Mail-Adressen und Angaben zur Wohnstadt abgeflossen. Betroffen sind Kunden aus sieben Ländern — den USA, dem Vereinigten Königreich, Schweden, Kolumbien, Brasilien, Italien und Portugal —, die im Zeitraum vom 10. Mai bis 8. August 2026 Bestellungen erhalten haben. Trezor warnt vor einer hohen Wahrscheinlichkeit von Phishing-Angriffen unter Verwendung der entwendeten Daten.
Chronologie und Umfang des Vorfalls
Laut der offiziellen Stellungnahme von Trezor verschafften sich die Angreifer über die Systeme von ShipMonk Zugriff auf Bestelldaten. Das Unternehmen teilte die Betroffenen je nach Umfang der offengelegten Informationen in zwei Gruppen ein:
- 11 742 Kunden — vollständige Kompromittierung: Namen, E-Mail-Adressen, Telefonnummern und physische Lieferadressen;
- 1 947 Kunden — teilweise Kompromittierung: Namen, E-Mail-Adressen und Informationen zur Stadt.
Das Zeitfenster der Kompromittierung umfasst Bestellungen, die im Zeitraum vom 10. Mai bis 8. August 2026 ausgeliefert wurden. Trezor betont, dass die eigene Infrastruktur des Unternehmens nicht angegriffen wurde, alle Dienste normal arbeiten und die Hardware-Wallets weiterhin geschützt sind — kryptografische Schlüssel und Seed-Phrasen der Nutzer wurden nicht beeinträchtigt.
Vermuteter Angriffsvektor
Trezor legt keine technischen Details zur Kompromittierung bei ShipMonk offen. Allerdings haben laut BleepingComputer betroffene ShipMonk-Kunden Benachrichtigungen erhalten, in denen eine Schwachstelle in der externen Analyseplattform Metabase als Ursache des Vorfalls genannt wird. Demnach informierten Vertreter von Metabase ShipMonk am 6. August darüber, dass unbekannte Angreifer eine Schwachstelle ausgenutzt hätten, um auf Kundendaten zuzugreifen. Nach der Entdeckung soll Metabase die Schwachstelle behoben und alle aktiven Sitzungen ungültig gemacht haben, während ShipMonk externe IT-Sicherheitsexperten für die Untersuchung hinzuzog.
Es ist zu beachten, dass der Zusammenhang des Vorfalls mit einer konkreten Metabase-Schwachstelle auf Sekundärquellen beruht und in der offiziellen Stellungnahme von Trezor nicht bestätigt wird. Eine CVE-Kennung für die mutmaßliche Schwachstelle ist in den verfügbaren Unterlagen nicht veröffentlicht.
Risiko von Phishing-Angriffen
Die Hauptbedrohung für die Betroffenen ist gezieltes Phishing. Trezor warnt seine Kunden ausdrücklich:
„Betrüger können die kompromittierten Informationen nutzen, um gefälschte E-Mails und Nachrichten zu versenden, Anrufe zu tätigen und sich dabei als Vertreter von Banken, Kryptobörsen oder sogar von Trezor selbst auszugeben.“
Der Satz der abgeflossenen Daten — Name, E-Mail-Adresse, Telefonnummer und physische Adresse — schafft ideale Voraussetzungen für überzeugende Social-Engineering-Angriffe. Angreifer können personalisierte Nachrichten erstellen, die sich auf den tatsächlichen Kauf eines Trezor-Geräts beziehen, was die Erfolgswahrscheinlichkeit von Phishing deutlich erhöht. Für Besitzer von Hardware-Kryptowallets ist das Endziel solcher Angriffe offensichtlich — die Erlangung der Seed-Phrase, die vollständige Kontrolle über die Guthaben ermöglicht.
Wiederkehrendes Problem: Angriffe über Dritte
Es ist bereits der zweite Datenabfluss bei Trezor-Kunden innerhalb der letzten zwei Jahre, der über einen Drittanbieter erfolgte. Im Januar 2024 verschafften sich Angreifer Zugang zu einem externen Support-Portal, das das Unternehmen nutzte. Damals wurden die Daten von 66 000 Nutzern kompromittiert, die seit Dezember 2021 den Support kontaktiert hatten — Namen, Benutzernamen und E-Mail-Adressen. Trezor bestätigte später, dass die entwendeten Informationen in Phishing-Kampagnen zum Diebstahl von Seed-Phrasen eingesetzt wurden.
Das Muster ist offensichtlich: Trotz eines hohen Sicherheitsniveaus der eigenen Infrastruktur bleibt die Lieferkette von Dienstleistern das verwundbare Glied für Trezor. Eine ähnliche Situation zeigt sich auch in anderen Branchen — die Kompromittierung von Logistik- und Servicepartnern entwickelt sich zu einem systemischen Problem.
Empfehlungen für Betroffene
Kunden von Trezor, die im Zeitraum von Mai bis August 2026 Einkäufe getätigt haben, sollten konkrete Schutzmaßnahmen ergreifen:
- Eingehenden Kontaktaufnahmen nicht vertrauen — alle E-Mails, SMS oder Anrufe, angeblich von Trezor, Banken oder Kryptobörsen, in denen um die Herausgabe der Seed-Phrase, eines Passworts oder um das Klicken auf einen Link gebeten wird, sind als betrügerisch zu betrachten. Trezor fordert niemals eine Seed-Phrase an;
- Absender sorgfältig prüfen — bei verdächtigen Nachrichten sollte der Kontakt zu Trezor ausschließlich über die offizielle Website und nicht über in der Nachricht enthaltene Links erfolgen;
- Kontoschutz verstärken — bei allen verknüpften Konten, insbesondere bei Kryptobörsen und E-Mail-Diensten, die Zwei-Faktor-Authentifizierung aktivieren;
- Verdächtige Aktivitäten überwachen — auf untypische Anmeldeversuche bei Konten und unerwartete Anfragen zur Zurücksetzung von Passwörtern achten;
- Besitz von Kryptowährungen nicht offenlegen — die Kombination aus geleakten physischen Adressen und dem bestätigten Besitz einer Hardware-Wallet erhöht nicht nur das digitale, sondern auch das physische Bedrohungsrisiko.
Der Vorfall mit Trezor und ShipMonk zeigt einmal mehr, dass die Sicherheit eines Produkts nicht nur vom Schutz des Herstellers selbst abhängt, sondern von der gesamten Lieferkette. Für Nutzer von Hardware-Kryptowallets bleibt eine zentrale Regel unverändert: Die Seed-Phrase wird niemandem und niemals mitgeteilt — weder per E-Mail noch telefonisch noch über ein Webformular, unabhängig davon, wie überzeugend eine solche Anfrage wirkt.
