Ein weiterer Tag, ein weiterer Sicherheitsalarm. Der Hardware-Wallet-Hersteller Trezor teilt mit, dass bei einem Vorfall mit dem Versandpartner Shipmonk die persönlichen Daten von rund 67.000 weiteren US-Kunden offengelegt wurden, nachdem Datensätze, die laut Trezor hätten gelöscht werden müssen, stattdessen weiterhin in den Systemen des Anbieters verborgen blieben.
Trezor-Datenleck eskaliert, da 67.000 weitere US-Käufer offengelegt werden
GESCHRIEBEN VON
TEILEN
Key Takeaways
- Trezor hat am 4. Sept. 67.000 US-Kunden zu seinem Shipmonk-Datenleck hinzugefügt.
- Trezors Leak betrifft nun rund 80.000 Personen, einschließlich Wohnadressen.
- Trezor peilt „Anonymous Delivery“ in den USA bis Ende 2026 an.
Die neu identifizierten Datensätze betreffen US-Bestellungen, die zwischen November 2019 und August 2021 aufgegeben wurden, und erweitern einen Vorfall, der bereits 13.689 neuere Kunden in mehreren Ländern betroffen hatte. Insgesamt umfasst der Vorfall nun rund 80.000 Personen, wobei Trezors Systeme, Geräte, private Schlüssel und Wallet-Backups nicht kompromittiert wurden.
Trezor findet 67.000 weitere US-Kunden im Vorfall
Nach der letzten Offenlegung erklärte Trezor, es habe am 2. Sept. erfahren, dass der Shipmonk-Vorfall größer war als zunächst gemeldet. Die älteren Datensätze enthalten die Namen, E-Mail-Adressen, Telefonnummern, Lieferadressen und Bestellnummern der Kunden und liefern Angreifern Informationen, die Betrugsversuche deutlich überzeugender machen könnten.
Die Entdeckung ist besonders beunruhigend, weil Trezor nach eigenen Angaben Shipmonk wiederholt aufgefordert hatte, die Informationen zu löschen, und eine schriftliche Bestätigung erhalten hatte, dass sie entfernt worden seien. Trezor erklärte, die Zusicherungen hätten mit seinem Vertrag, der Datenrichtlinie und früheren Mitteilungen mit dem Fulfillment-Anbieter übereingestimmt.
Das wirft auch Fragen zu Trezors beworbener 90-Tage-Datenaufbewahrungsrichtlinie bei Fulfillment-Partnern auf. Die neu entdeckten Datensätze reichen Jahre zurück und zeigen, dass die Richtlinie für die betroffenen US-Kunden aus den Jahren 2019–2021 nicht durchgesetzt wurde.
Geleakte Adressen treiben die Bedrohung über E-Mail-Phishing hinaus
Die offengelegten Informationen ermöglichen es einem Angreifer nicht, aus der Ferne auf eine Trezor-Wallet zuzugreifen. Private Schlüssel und Seed-Phrasen, die geheimen Wiederherstellungswörter zur Kontrolle einer Krypto-Wallet, waren nicht Teil des Vorfalls.
Doch die Art der offengelegten Informationen schafft ein anderes Problem. Trezor warnte, dass geleakte Telefonnummern und Wohnadressen betroffene Kunden potenziell einem physischen Risiko aussetzen könnten, während echte Bestellnummern und Kontaktdaten Betrügern helfen könnten, sich überzeugender als das Unternehmen auszugeben.
Der Vorfall entstand außerhalb von Trezor. Angreifer nutzten eine zuvor unbekannte SQL-Injection-Schwachstelle in Metabase aus, einer von Shipmonk genutzten Analytics-Plattform. Metabase informierte Shipmonk um den 6. Aug., schloss die Schwachstelle und invalidierte Sitzungen, während Shipmonk später erklärte, es habe seine Systeme abgesichert.
Datenpannen bei Dritten bringen Käufer von Hardware-Wallets in Gefahr
Der Vorfall folgt auf andere Offenlegungen durch Dritte, die Trezor-Kunden betrafen. Rund 106.856 Kunden waren von einem Vorfall im Jahr 2022 betroffen, während ein kompromittiertes Support-Portal im Jahr 2024 bis zu 66.000 Namen und E-Mail-Adressen offenlegte. In jedem Fall wurden die Hardware-Wallets selbst nicht aus der Ferne kompromittiert.
Dieser Unterschied ist wichtig für Kunden, die entscheiden, wie sie reagieren sollen. Trezor warnt, dass niemand aus dem Unternehmen nach einem Wallet-Backup fragen wird; daher sollten Kunden ihre Seed-Phrase niemals auf einer Website eingeben oder an jemanden weitergeben, der vorgibt, Support zu leisten.
Trezor treibt „Anonymous Delivery“ voran, während Shipmonks Zukunft offen ist
Trezor bewirbt nun ein „Anonymous Delivery“-System, das die Menge an Kundeninformationen reduzieren soll, die beim Kauf von Hardware-Wallets gespeichert werden. Das System umfasst Abholung an Schließfächern, neutrale Verpackung, einen generischen Absender sowie die automatische Löschung von Versandkennungen nach der Zustellung; eine Einführung in Europa ist für September vorgesehen, und ein US-Rollout ist bis Ende 2026 geplant.
Derzeit hat Trezor keine Pläne angekündigt, Shipmonk fallen zu lassen. Das Unternehmen erklärte zuvor, es werde über die Zukunft der Partnerschaft entscheiden, nachdem es ein vollständiges Bild des Vorfalls erhalten habe – damit bleibt diese Entscheidung ungelöst, selbst während die bekannte Zahl der betroffenen Kunden sich 80.000 nähert. Das Thema folgt auf eine Reihe beunruhigender Hardware-Wallet-Vorfälle, die sich 2026 ereignet haben, im Zusammenhang mit Safepal und Coldcard-Wallets.
Dieser Artikel wurde mithilfe von KI aus dem Englischen übersetzt. Die englische Originalversion ist die maßgebliche Quelle; automatische Übersetzungen können Ungenauigkeiten enthalten, insbesondere bei rechtlicher und regulatorischer Terminologie.
