Trezor-Versanddienstleister setzt 13.689 Krypto-Kunden Betrugsversuchen aus

Laut dem Sicherheitsupdate des Unternehmens erhielten die betroffenen Kunden in den 90 Tagen vor dem 8. August Bestellungen in den Vereinigten Staaten, Großbritannien, Schweden, Kolumbien, Brasilien, Italien oder Portugal, so Trezor. Der Hersteller von Hardware-Wallets gab an, dass Shipmonk ihn am 10. August über einen unbefugten Zugriff auf Systeme mit Kundendaten informiert habe.

Trezor teilte mit, dass bei 11.742 Kunden deren vollständige Namen, E-Mail-Adressen, Telefonnummern und Lieferadressen offengelegt wurden. Bei weiteren 1.947 Kunden wurden Teilinformationen offengelegt: Namen, Städte und E-Mail-Adressen.

Eine Hardware-Wallet ist ein physisches Gerät, das dazu dient, die privaten Zugangsdaten zur Verwaltung von Kryptowährungen offline zu speichern. Diese Zugangsdaten, oft als private Schlüssel bezeichnet, wurden bei diesem Vorfall nicht offengelegt. „Alle betroffenen Kunden wurden einzeln per E-Mail benachrichtigt. Unsere Systeme und Geräte sind weiterhin sicher, doch betroffene Kunden könnten vermehrt Phishing-Versuchen ausgesetzt sein“, erklärte Trezor auf X.

Das unmittelbare Risiko ist Identitätsbetrug

Die unmittelbarere Sorge gilt dem Phishing, einer Betrugstaktik, bei der Kriminelle sich als vertrauenswürdige Unternehmen, Banken oder andere Dienste ausgeben, um Menschen dazu zu verleiten, sensible Informationen preiszugeben.

„Betrüger können die durchgesickerten Informationen nutzen, um gefälschte E-Mails zu versenden, gefälschte Telefonanrufe zu tätigen, betrügerische Briefe zu verschicken oder sich möglicherweise als Banken, Krypto-Börsen oder sogar als Trezor auszugeben“, erklärte das Unternehmen in seiner Kundenmitteilung.

Dieses Risiko ist für Besitzer von Hardware-Wallets besonders gravierend, da Diebe versuchen könnten, an ein Wallet-Backup – auch als Wiederherstellungsphrase bekannt – zu gelangen. Mit einer Wiederherstellungsphrase lässt sich der Zugriff auf ein Krypto-Wallet wiederherstellen, was bedeutet, dass jeder, der sie in die Hände bekommt, möglicherweise über die darin enthaltenen Gelder verfügen kann.

Trezor forderte seine Kunden nachdrücklich auf, niemals ein Wallet-Backup auf einer Website einzugeben oder es an Dritte weiterzugeben. Außerdem riet das Unternehmen dazu, Nachrichten, die dringende Maßnahmen oder die Angabe persönlicher Daten verlangen, mit Argwohn zu betrachten und die Kommunikation über offizielle Trezor-Kanäle zu überprüfen.

Ein Versandpartner verwahrte die Daten

Shipmonk ist ein Logistikdienstleister, der Produkte lagert und Bestellungen an Käufer versendet. Trezor erklärte, dass ein solcher Partner grundlegende Lieferinformationen benötige, darunter den Namen, die Adresse, die Telefonnummer und die E-Mail-Adresse des Empfängers.

Trezor betonte, dass seine eigenen Systeme, Produkte und Dienste nicht kompromittiert worden seien. „Trezor-Geräte sind nach wie vor vollkommen sicher“, erklärte das Unternehmen und fügte hinzu, dass der normale Betrieb weiterlaufe.

Das Unternehmen erklärte, dass seine 90-tägige Aufbewahrungsrichtlinie den Umfang des Vorfalls begrenzt habe. Trezor verlangt von seinen Fulfillment-Partnern, dass sie Kundenauftragsdaten 90 Tage nach der Lieferung löschen oder anonymisieren, sobald die für Lieferung, Rücksendungen, Rückerstattungen und Ersatzlieferungen erforderliche Frist abgelaufen ist.

„Die einzige konkrete Auswirkung besteht darin, dass betroffene Kunden möglicherweise vermehrt Phishing-Versuche per E-Mail, Telefon oder Post erhalten“, teilte Trezor mit. Das Unternehmen erklärte, betroffene Kunden seien direkt über help@trezor.io kontaktiert worden, und Personen, die diese Benachrichtigung nicht erhalten hätten, seien nicht betroffen.

Die Hardware-Wallet-Branche hat so etwas schon einmal erlebt

Der Vorfall ist nicht der erste Datenverstoß im Zusammenhang mit einem Hersteller von Hardware-Wallets. Ledger, ein weiterer großer Hersteller, war 2020 von einem Datenverstoß betroffen, der seine E-Commerce- und Marketing-Datenbank betraf.

Bei diesem Vorfall wurden rund 1 Million E-Mail-Adressen und später etwa 272.000 detailliertere Kundendatensätze offengelegt, darunter Namen, Postanschriften, Telefonnummern und bestellte Produkte.

Der Vorfall bei Ledger zeigte, warum personenbezogene Daten im Zusammenhang mit Krypto-Besitz für Kriminelle wertvoll sein können, selbst wenn die Wallet-Technologie selbst sicher bleibt. Sie können Betrügern dabei helfen, glaubwürdige Nachrichten zu verfassen, die auf einen bekannten Kunden abzielen. Trezor erklärte am Donnerstag, dass das Unternehmen an einer datenschutzfreundlicheren Versandmethode arbeite.

Das Unternehmen erklärte: „Wir arbeiten derzeit an einer Option für anonyme Lieferungen, die wir bis September für die EU und bis Ende des Jahres für die USA bereitstellen wollen. Damit bieten wir Ihnen eine sicherere Möglichkeit, Hardware-Wallets zu bestellen, ohne den Kauf mit Ihrer Privatadresse oder Ihrer realen Identität zu verknüpfen.“

Trezor teilte ferner mit, dass Shipmonk die betroffenen Systeme gesichert und verstärkt habe, während die Untersuchung weiterläuft. Kunden sollten auf weitere Updates achten; Trezor plant, die anonyme Zustellung in der Europäischen Union bis September und in den Vereinigten Staaten bis Ende 2026 einzuführen.