Trezor hat offengelegt, dass persönliche Daten von 13.689 Kunden offengelegt wurden, nachdem ein unbefugter Akteur Zugang zu Systemen seines Versanddienstleisters ShipMonk erhalten hatte.
Zusammenfassung
- ShipMonk-Verstoß legte persönliche Daten von 13.689 Trezor-Kunden offen.
- Namen, E-Mails, Telefonnummern und Versandadressen gehörten zu den abgerufenen Daten.
- Trezor erklärte, dass seine Systeme und Hardware-Wallets bei dem Vorfall nicht kompromittiert wurden.
- Betroffene Kunden wurden vor möglicherweise überzeugenderen Phishing-Versuchen gewarnt.
- Trezor plant, die anonyme Lieferung bis September 2026 in der EU und bis Jahresende in den USA einzuführen.
Trezor erklärte in einer Sicherheitsmeldung vom 13. August, dass ShipMonk den Hardware-Wallet-Hersteller am 10. August über unbefugten Zugriff auf Systeme mit Kundendaten informiert habe, wobei die Untersuchung des Vorfalls noch andauere.
Der Verstoß betraf Kunden, die zwischen dem 10. Mai und dem 8. August Bestellungen von Trezor in den USA, Großbritannien, Schweden, Kolumbien, Brasilien, Italien und Portugal erhalten hatten. Trezor erklärte, dass seine eigenen Systeme nicht kompromittiert wurden und seine Hardware-Wallets sicher bleiben.
Von den betroffenen Kunden wurden bei 11.742 Kunden Namen, E-Mail-Adressen, Telefonnummern und Versandadressen offengelegt. Weitere 1.947 Kunden hatten teilweise kompromittierte Informationen, bestehend aus Namen, Städten und E-Mail-Adressen.
Bestellnummern gehörten laut Trezors Erklärung des Vorfalls ebenfalls zu den Informationen, die ShipMonk für Lieferungen speicherte.
ShipMonk-Verstoß legte aktuelle Trezor-Bestelldaten offen
ShipMonk fungiert als Logistikdienstleister, der Trezor-Produkte lagert und Lieferungen in den USA, Großbritannien und mehreren anderen Märkten abwickelt. Das Fulfillment-Unternehmen benötigt Kundennamen, Adressen, Telefonnummern und E-Mail-Adressen, um Sendungen zu verarbeiten.
Laut Trezor wurde die Anzahl der betroffenen Kunden durch seine 90-Tage-Datenaufbewahrungsrichtlinie begrenzt, die auch von Fulfillment-Partnern befolgt werden muss. Kundendaten, die mit älteren Bestellungen verbunden waren, wurden bereits gelöscht oder anonymisiert und waren daher nicht in den betroffenen ShipMonk-Systemen gespeichert.
Trezor erklärte, dass der 90-Tage-Zeitraum dazu dienen sollte, den gesamten Bestellprozess abzudecken, einschließlich Lieferung, Rücksendungen, Rückerstattungen und Produktaustausch. Nach Ablauf des Zeitraums werden kaufbezogene Kundendaten gelöscht oder anonymisiert, da das Unternehmen die Adresse oder Telefonnummer für Fulfillment-Zwecke nicht mehr benötigt.
Betroffene Kunden wurden separat per E-Mail benachrichtigt, die von [email protected] gesendet wurden. Kunden, die die Sicherheitsmeldung nicht erhalten haben, waren laut Unternehmen nicht von dem Vorfall betroffen.
Der Vorfall ist das erste Mal seit der Gründung von Trezor im Jahr 2013, dass ein Verstoß, an dem das Unternehmen oder einer seiner Anbieter beteiligt war, Telefonnummern und Versandadressen von Kunden offengelegt hat.
„Wir verstehen absolut, wie ernst dies ist und welche potenziellen Risiken es für unsere Kunden birgt, und es tut uns zutiefst leid für die Betroffenen“, sagte Trezor.
Trezor warnt, dass offengelegte Daten Phishing-Angriffe unterstützen könnten
Obwohl Wallet-Geräte und die Infrastruktur von Trezor nicht betroffen waren, warnte das Unternehmen, dass offengelegte persönliche Daten verwendet werden könnten, um überzeugendere Phishing-Versuche zu erstellen.
Angreifer könnten den Namen, die Telefonnummer, die E-Mail-Adresse oder die Privatadresse eines Kunden verwenden, um sich als Trezor, eine Kryptowährungsbörse oder eine Bank auszugeben. Das Unternehmen erklärte, dass betrügerische Ansätze per E-Mail, Telefonanruf oder physischen Briefen eintreffen könnten.
Solche Angriffe haben zuvor Hardware-Wallet-Besitzer mit persönlichen Informationen und offiziell aussehenden Mitteilungen ins Visier genommen. Im Februar berichtete crypto.news über gefälschte Briefe, die an Trezor- und Ledger-Kunden gesendet wurden und die Empfänger über QR-Codes auf Phishing-Websites führten.
Die Briefe teilten den Empfängern mit, dass sie eine Authentifizierungs- oder Transaktionsprüfung abschließen müssten, und versuchten, Dringlichkeit zu erzeugen, indem sie vor möglichen Problemen mit der Wallet-Funktionalität warnten. Die verlinkten Phishing-Seiten forderten 12-, 20- oder 24-Wort-Wiederherstellungsphrasen an, die Angreifern nach der Übermittlung die Kontrolle über eine Wallet geben würden.
Physische Briefe stellen ein besonderes Problem dar, wenn Angreifer bereits über die Postanschrift eines Opfers verfügen. Eine Ledger-Phishing-Kampagne im April 2025 nutzte ähnlich betrügerische Briefe mit Ledger-Branding, einer Geschäftsadresse und individuellen Referenznummern.
Empfänger dieser Kampagne wurden angewiesen, einen QR-Code zu scannen und ihre 24-Wörter-Wiederherstellungsphrase anzugeben, unter dem Vorwand, dass ein kritisches Sicherheitsupdate erforderlich sei.
Trezor hat betroffene Kunden des ShipMonk-Vorfalls angewiesen, Kommunikation, die sofortiges Handeln oder persönliche Daten verlangt, mit Misstrauen zu behandeln. Außerdem riet das Unternehmen den Nutzern, Nachrichten mit seinen offiziellen Kommunikationswegen zu überprüfen und niemals ein Wallet-Backup über eine Website oder an eine andere Person weiterzugeben.
Frühere Trezor-Vorfälle haben ebenfalls zu Phishing-Warnungen geführt
Trezor hatte bereits früher mit der Offenlegung von Kundendaten über Drittanbieter zu tun, obwohl das Unternehmen erklärte, der ShipMonk-Vorfall sei der erste gewesen, bei dem Telefonnummern und Lieferadressen durchgesickert seien.
Die Hardwaresicherheit steht separat weiterhin unter Beobachtung. Im Juni haben Trezor und Tropic Square einen Chipfehler offengelegt, der das in Trezor Safe 7 verwendete TROPIC01 Secure Element betrifft, nachdem Forscher von Ledger Donjon die Schwachstelle bei einem unabhängigen Audit entdeckt hatten.
Ledger Donjon nutzte Laser-Fehlerinjektion unter Laborbedingungen, um einige Chip-Geheimnisse zu extrahieren und Firmware-Signaturprüfungen zu umgehen. Trezor erklärte, der Angriff erforderte physischen Zugriff und spezielle Ausrüstung, während zwei weitere unabhängige Sicherheitsebenen weiterhin den Zugriff auf das Wallet schützten. Nutzer mussten nicht handeln.
Der ShipMonk-Vorfall betraf im Vergleich dazu Bestellinformationen, die bei einem Fulfillment-Dienstleister gespeichert waren, und nicht die Hardware oder Software, die für die Sicherung privater Schlüssel verantwortlich ist.
Trezor plant anonyme Lieferoption
Nach der jüngsten Offenlegung erläuterte Trezor auch Möglichkeiten, wie Kunden die Menge an persönlichen Daten reduzieren können, die mit zukünftigen Hardware-Wallet-Käufen verbunden sind.
Das Unternehmen empfahl, eine E-Mail-Adresse zu verwenden, die nicht mit der primären Identität eines Kunden verknüpft ist, und schlug Kryptowährungszahlungen als Alternative zu Kreditkarten vor. Wo verfügbar, können Kunden auch ein Postfach nutzen, um die Offenlegung ihrer Privatadresse zu reduzieren, obwohl Identifikationsanforderungen und Postdienstaufzeichnungen weiterhin gelten können.
Trezor bereitet außerdem einen anonymen Lieferservice vor, der die bei Hardware-Wallet-Lieferungen gespeicherten Kundendaten reduzieren soll.
Im geplanten System würden Bestellungen einen speziellen Checkout-Prozess, Schließfachabholung, neutrale Verpackung und generische Absenderinformationen verwenden. Versandkennungen würden dann nach der Lieferung automatisch gelöscht.
Trezor gab an, den anonymen Lieferservice bis September 2026 in der Europäischen Union verfügbar zu machen, gefolgt von einer Einführung in den USA bis Ende 2026.
