Krypto-Sicherheitslücken 2026: Datenlecks bei Hardware-Wallets führen zu physischen Angriffen

Drei Sicherheitsverletzungen innerhalb von vier Tagen, jede verwurzelt in einem Anbieter, den der Endnutzer nie gewählt hat und von dessen Existenz er wahrscheinlich nie wusste. SafePal verlor 39.798 Kundendatensätze durch einen Plugin-Fehler. Trezor verlor 13.689 über seinen Versanddienstleister ShipMonk. Bits of Gold, Israels größter regulierter Krypto-Broker, verlor etwa 200.000 durch ein Analysetool. Keine Wallets wurden geleert. Keine Schlüssel wurden gestohlen. Was gestohlen wurde, ist für eine bestimmte und wachsende Art von Kriminalität schlimmer: der verifizierte Nachweis, dass eine Person an einer bekannten Adresse Kryptowährung besitzt, gepaart mit ihrer Telefonnummer und in einigen Fällen ihrer staatlichen Identifikationsnummer.

Dieser Artikel verfolgt die drei Vorfälle bis zu ihrer gemeinsamen technischen Wurzel, misst die physische Bedrohung, die diese Datensätze nun speisen, und untersucht, was die Reaktion der Branche über eine strukturelle Lücke offenbart, die Hardware-Wallet-Hersteller und Broker nur langsam schließen.

Eine Schwachstelle, zwei Sicherheitsverletzungen, vier Tage

Die Verbindung zwischen den Sicherheitsverletzungen von Trezor und Bits of Gold wurde innerhalb von Stunden nach der zweiten Offenlegung klar. Beide führen auf CVE-2026-72898 zurück, eine kritische nicht authentifizierte SQL-Injection in Metabase, der Open-Source-Business-Intelligence-Plattform, die von Tausenden von Unternehmen zur Abfrage und Visualisierung interner Daten verwendet wird.

Die Schwachstelle befindet sich im Passwort-Reset-Endpunkt. Ein entfernter Angreifer kann beliebiges SQL über nicht deklarierte Felder im Reset-Anforderungstext injizieren, Administratorzugriff auf die Metabase-Instanz erlangen und von dort aus jede Datenbank lesen, mit der die Instanz verbunden ist. Metabase bewertete sie mit CVSS 10.0. Horizon3 veröffentlichte einen Proof of Concept. CISA fügte sie dem Katalog der bekannten ausgenutzten Schwachstellen hinzu.

ShipMonk, der Fulfillment-Anbieter, den Trezor für Bestellungen in den USA, Großbritannien, Schweden, Kolumbien, Brasilien, Italien und Portugal nutzt, betrieb eine selbst gehostete Metabase-Instanz. Angreifer nutzten CVE-2026-72898 am oder vor dem 6. August aus und griffen auf Bestelldaten von 13.689 Trezor-Kunden zu, die zwischen dem 10. Mai und dem 8. August Lieferungen erhalten hatten. Von diesen hatten 11.742 eine vollständige Exposition einschließlich Name, E-Mail, Telefonnummer und Lieferadresse. Die restlichen 1.947 hatten eine teilweise Exposition, begrenzt auf Name, Stadt und E-Mail.

Bits of Gold meldete seine Sicherheitsverletzung am 16. August, nachdem es unbefugten Zugriff auf ein Software-System eines Drittanbieters für Kundensupport und Datenanalyse festgestellt hatte. Das Unternehmen bestätigte dieselbe CVE. Bei etwa 200.000 Nutzern wurden möglicherweise Namen, israelische Identifikationsnummern, E-Mail-Adressen, Telefonnummern, IP-Adressen, Bankkontodaten und öffentliche Kryptowährungs-Wallet-Adressen abgerufen. Bits of Gold beschrieb den Vorfall als Teil eines breiteren globalen Angriffs, der mehrere Unternehmen gleichzeitig traf.

Die breitere Kampagne ist real. Metabase selbst bestätigte, dass Angreifer den Fehler gegen Metabase-Cloud-Mandanten ausnutzten, bevor der Patch verfügbar war. Framework, Anaconda und n8n meldeten alle unbefugten Datenzugriff aus dem Zeitraum vor dem Patch. Von etwa 11.000 wahrscheinlichen selbst gehosteten Metabase-Instanzen, die durch internetweites Scannen von runZero gefunden wurden, waren 4.309 potenziell verwundbar, und über 97% der identifizierten Hosts auf betroffenen Zweigen schienen zum Zeitpunkt der Beratung ungepatcht zu sein.

Die dritte Sicherheitsverletzung beruht auf einem anderen Fehler

SafePals Vorfall teilt das Timing, aber nicht die technische Wurzel. Der von Binance unterstützte Hardware-Wallet-Hersteller meldete am 16. August, dass eine Autorisierungsschwachstelle in einem Bestellverfolgungs-Plugin eines Drittanbieters unbefugten Personen ermöglichte, Bestellinformationen anderer Kunden einzusehen. Der Fehler legte 39.798 Kunden offen, die zwischen dem 2. März 2025 und dem 11. April 2026 Bestellungen aufgegeben hatten.

Der Datensatz ist schmaler als die Metabase-Breaches: Namen, E-Mail-Adressen, Telefonnummern, Lieferadressen und Kaufdetails. Es wurden keine Seed-Phrasen, privaten Schlüssel, Wallet-Passwörter, Bankdaten oder staatliche Identifikationsnummern abgegriffen. SafePal hat den Fehler behoben, einen unabhängigen Prüfer beauftragt, das Datenaufbewahrungsfenster auf 90 Tage gekürzt und mehr als 30 mit dem Vorfall verbundene Phishing-Websites identifiziert und entfernt.

Die drei Sicherheitsverletzungen folgen einem Muster, das wichtiger ist als jede einzelne CVE. In jedem Fall wurden die eigenen Systeme des Unternehmens nicht kompromittiert. Der Angreifer gelangte über einen Anbieter hinein, den der Kunde nie ausgewählt hatte: eine Versandlogistikfirma, ein Analyse-Dashboard, ein Bestellverfolgungs-Widget. Der Kunde wählte eine Wallet oder einen Broker. Der dahinterliegende Anbieter-Stack war unsichtbar.

Was die gestohlenen Daten ermöglichen

Die übliche Beruhigung nach einer solchen Sicherheitsverletzung ist, dass keine Gelder kompromittiert wurden. Diese Darstellung behandelt die Daten als lästig, nützlich für Phishing-E-Mails, die ein aufmerksamer Benutzer erkennen und löschen kann. Sie übersieht die Kategorie von Verbrechen, die diese Datensätze speisen.

CertiKs Wrench-Attack-Bericht für H1 2026 dokumentierte 52 bestätigte Vorfälle von physischer Gewalt, um Kryptowährung von Opfern zu erpressen, ein Anstieg von 33% gegenüber den 39 Vorfällen im ersten Halbjahr 2025. Die finanzielle Exposition erreichte 124,1 Millionen US-Dollar, mehr als das Elffache der 10,5 Millionen US-Dollar aus dem gleichen Zeitraum des Vorjahres.

Die Angriffsmethoden verändern sich. Wohnungseinbrüche im Zusammenhang mit Krypto-Diebstahl stiegen von einem Fall im ersten Halbjahr 2025 auf 20 im ersten Halbjahr 2026 und sind damit der häufigste bestätigte Angriffstyp. Entführungen stiegen von 12 auf 16. Angreifer zielen zunehmend auf Personen in der Nähe von Krypto-Besitzern: Verwandte oder Bekannte machten Anfang 2026 etwa 25% bis 30% der dokumentierten Fälle aus, gegenüber fast null im Jahr 2021.

Frankreich entfällt auf 33 der 52 bestätigten Fälle, 63,5% aller Vorfälle weltweit. Das Land verzeichnete 2026 41 Krypto-bezogene Entführungen, durchschnittlich etwa eine alle zweieinhalb Tage. Die Konzentration ist teilweise ein Meldeeffekt, die französische Strafverfolgung erfasst und veröffentlicht diese Fälle konsequenter als die meisten Gerichtsbarkeiten, aber das Ausmaß ist nicht allein durch die Meldung erklärt.

Die Daten aus den Sicherheitsverletzungen dieser Woche sind genau das, was eine Wrench-Attacke benötigt. Ein bestätigter Krypto-Kunde, eine durch eine abgeschlossene Lieferung verifizierte Lieferadresse, eine Telefonnummer für Social Engineering und im Fall von Bits of Gold eine staatliche Identifikationsnummer und öffentliche Wallet-Adresse. Der Angreifer muss nicht raten, wer Krypto besitzt. Die Sicherheitsverletzung bestätigt es.

Die Ökonomie ist einfach. Ein Käufer im Dark Web zahlt ein paar hundert Dollar für eine kuratierte Liste verifizierter Krypto-Besitzer mit Wohnadressen. Ein einziger erfolgreicher Wohnungseinbruch oder eine Entführung bringt Zehntausende bis Millionen von Dollar in Kryptowährung, die nach der Übertragung irreversibel ist. Die risikoadjustierte Rendite für den Angreifer verbessert sich mit jeder Sicherheitsverletzung, die verifizierte Datensätze zum Markt hinzufügt. Die 124,1 Millionen US-Dollar an finanzieller Exposition aus 52 Vorfällen im ersten Halbjahr 2026 implizieren eine durchschnittliche Beute von etwa 2,4 Millionen US-Dollar pro erfolgreichem Angriff, obwohl der Median wahrscheinlich niedriger ist und einige wenige Fälle mit hohem Wert den Durchschnitt nach oben verzerren.

Die Geographie der Bedrohung expandiert ebenfalls. Während Frankreich die bestätigte Fallzahl dominiert, hat Chainalysis 2026 Vorfälle in mindestens 14 Ländern dokumentiert. Das Vereinigte Königreich, die USA, Brasilien, die Niederlande und Südafrika verzeichneten alle mehrere Fälle. Die Trezor-Sicherheitsverletzung betrifft insbesondere Kunden in sieben Ländern. Die Bits-of-Gold-Sicherheitsverletzung betrifft israelische Kunden, eine Gerichtsbarkeit, die zuvor nicht in großem Umfang in Wrench-Attack-Statistiken aufgetaucht ist.

Der Ledger-Präzedenzfall und warum er jetzt wichtig ist

Dies ist nicht das erste Mal, dass eine Hardware-Wallet-Sicherheitsverletzung eine physische Bedrohungskampagne speist. Ledgers E-Commerce-Datenbankverletzung von 2020 legte etwa 272.000 Kundendatensätze offen, einschließlich vollständiger Namen, Telefonnummern und Wohnadressen. Die Daten wurden privat verkauft, bevor sie im Dezember 2020 öffentlich veröffentlicht wurden.

Was folgte, wurde zur klarsten Fallstudie der Branche dafür, wie gestohlene Adressdaten zu realem Schaden führen. Phishing-Kampagnen nutzten echte Namen und Kaufdetails, um sich als Ledger-Support auszugeben. Erpresserbriefe trafen an Wohnadressen ein und forderten 700 bis 1.000 Dollar in Bitcoin, mit der Warnung, dass eine Weigerung zu Doxxing oder körperlichen Angriffen führen würde. Im Jahr 2021 verschickten Angreifer physisch manipulierte Ersatzgeräte an Adressen aus dem Datenleck, in Schrumpffolie verpackte Pakete mit gefälschtem Briefkopf, die die Opfer anwiesen, Wiederherstellungsphrasen auf modifizierter Hardware einzugeben, die darauf ausgelegt war, Seed-Phrasen zu exfiltrieren.

Sechs Jahre später zirkulieren Daten aus dem Ledger-Leck immer noch in Phishing-Kampagnen. Betrüger schickten 2026 physische Briefe an Ledger-Kunden unter Verwendung derselben Adressdaten von 2020, was zeigt, dass Daten aus Sicherheitsverletzungen nicht verfallen. Eine Wohnadresse von 2020 ist 2026 für die meisten Opfer, die nicht umgezogen sind, immer noch eine Wohnadresse.

Die Sicherheitsverletzungen vom August 2026 sind in der Summe größer. Ledger legte 272.000 Datensätze offen. Die drei Sicherheitsverletzungen dieser Woche legten 253.487 offen, und der Datensatz von Bits of Gold enthält staatliche Identifikationsnummern und öffentliche Wallet-Adressen, die das Ledger-Datenleck nicht enthielt. Die Anreicherung ist schlimmer. Ein Angreifer, der mit dem Ledger-Datenleck arbeitete, wusste, dass jemand eine Hardware-Wallet gekauft hat. Ein Angreifer, der mit den Daten von Bits of Gold arbeitet, weiß, dass jemand Krypto besitzt, wo er lebt, wie seine staatliche ID-Nummer lautet, und kann seinen On-Chain-Saldo überprüfen.

Das Anbieterproblem, das niemand gelöst hat

Hardware-Wallet-Unternehmen vermarkten sich über Sicherheit. Das Gerät generiert Schlüssel offline. Die Firmware ist Open Source. Das sichere Element widersteht physischer Manipulation. Nichts davon spielt eine Rolle, wenn das Unternehmen die Wohnadresse eines Kunden an einen Drittanbieter für die Auftragsabwicklung weitergibt, der ein ungepatchtes Analyse-Dashboard betreibt.

Trezor hat diese Lücke direkt eingeräumt. Das Unternehmen kündigte an, bis September 2026 in der Europäischen Union und bis Ende des Jahres in den USA den anonymen Versand einzuführen. Der Dienst ermöglicht es Kunden, Geräte zu erhalten, ohne einem Versandvermittler eine Wohnadresse zu geben. Es ist die erste strukturelle Reaktion eines Hardware-Wallet-Herstellers auf das Anbieter-Datenproblem.

SafePals Reaktion konzentrierte sich auf das Plugin: Patchen, Auditieren, Aufbewahrungsfristen reduzieren. Bits of Gold beauftragte eine Incident-Response-Firma und trennte das betroffene System. Keiner kündigte Änderungen bei der Auswahl oder Prüfung der Anbieter an, die Kundendaten verarbeiten.

Das strukturelle Problem ist, dass das Sicherheitsmodell für die Krypto-Verwahrung das Gerät und die Schlüssel als Perimeter betrachtet. Der tatsächliche Perimeter umfasst jeden Anbieter in der Lieferkette, der weiß, dass ein Kunde existiert und wo er lebt. Auftragsabwickler, Analyseplattformen, Kundensupport-Tools, Bestellverfolgungs-Widgets und Zahlungsabwickler halten alle einen Teil dieser Informationen. Jeder von ihnen ist ein Ziel, und der Kunde hat keine Transparenz darüber, welche Anbieter in der Kette sind oder welche Software sie verwenden.

Die Kosten der Aufbewahrung

Die Datenaufbewahrungsrichtlinie ist die einzige Variable, die bestimmt, wie groß eine Sicherheitsverletzung sein kann. Der Plugin-Fehler von SafePal legte Bestellungen offen, die über einen Zeitraum von 13 Monaten aufgegeben wurden. Die ShipMonk-Offenlegung von Trezor betraf einen Zeitraum von drei Monaten. Bits of Gold hat seine Aufbewahrungsfrist nicht offengelegt, aber 200.000 betroffene Kunden deuten auf Jahre angesammelter Datensätze hin.

Nach der Sicherheitsverletzung reduzierte SafePal die Aufbewahrungsfrist auf 90 Tage. Das ist die richtige Richtung, wirft aber eine Frage auf: Warum betrug das vorherige Fenster 13 Monate? Die Bestellverfolgung erfordert nicht, die Wohnadresse eines Kunden ein Jahr nach der Lieferung aufzubewahren. Die Versandbestätigung benötigt sie für Tage, nicht für Monate.

Das Prinzip ist einfach. Jeder Tag, an dem ein Datensatz über seinen betrieblichen Zweck hinaus existiert, ist ein Tag, an dem er gestohlen werden kann. Die Angriffsfläche ist nicht die Anzahl der Anbieter. Es ist die Anzahl der Anbieter multipliziert mit der Anzahl der Datensätze, die jeder hält, multipliziert mit der Zeit, die diese Datensätze bestehen bleiben.

Was das tatsächlich beheben würde

Drei strukturelle Änderungen würden den Explosionsradius der nächsten Sicherheitsverletzung verringern. Keine erfordert neue Technologie. Alle erfordern Entscheidungen, die Unternehmen bisher vermieden haben.

Die erste ist die Sicherheitsbescheinigung von Anbietern. Jedes Unternehmen, das Krypto-Kundendaten verarbeitet, sollte von seinen Anbietern verlangen, aktuelle Patch-Stände bei internetfähiger Software aufrechtzuerhalten und Nachweise für diese Einhaltung in einem festgelegten Zeitplan zu erbringen. Die Metabase-Schwachstelle hatte am 6. August einen Patch verfügbar. ShipMonk wurde am oder vor dem 6. August verletzt. Bits of Gold entdeckte unbefugten Zugriff Tage später. Ein Anbieter-Bescheinigungsprogramm, das monatliche Patch-Compliance-Berichte verlangte, hätte ungepatchte Metabase-Instanzen markiert, bevor sie ausgenutzt wurden.

Die zweite ist die Adressminimierung. Ein Fulfillment-Anbieter benötigt eine Lieferadresse, um ein Paket zuzustellen. Nach der Zustellbestätigung benötigt er diese Adresse nicht mehr. Ein Kundensupport-Tool benötigt eine Bestellreferenznummer, um einen Fall nachzuschlagen. Es benötigt dafür nicht die Privatadresse des Kunden. Das Prinzip der Datenminimierung, nur das zu sammeln, was benötigt wird, und es zu löschen, wenn der Bedarf endet, ist in der DSGVO, dem CCPA und den meisten modernen Datenschutzrahmenwerken verankert. Auf Anbieterebene im Krypto-Bereich wird es jedoch selten durchgesetzt.

Die dritte ist die transparente Offenlegung von Anbietern. Kunden, die sich für eine Hardware-Wallet oder einen Broker entscheiden, haben derzeit keine Möglichkeit zu erfahren, welche Anbieter ihre Daten erhalten. Trezors Kunden wussten nicht, dass ShipMonk existierte, bis die Datenschutzverletzung bekannt wurde. SafePals Kunden wussten nicht, welches Plugin ihre Bestellungen verfolgte. Ein einfaches Anbieterverzeichnis, das auf der Website des Unternehmens veröffentlicht und bei Änderungen aktualisiert wird, würde den Kunden die Informationen geben, die sie benötigen, um ihr eigenes Risiko einzuschätzen.

Keine dieser Maßnahmen beseitigt Datenschutzverletzungen. Sie reduzieren die Anzahl der Datensätze, die gestohlen werden können, das Zeitfenster, in dem diese Datensätze existieren, und die Fähigkeit des Kunden, fundierte Entscheidungen darüber zu treffen, welchen Unternehmen sie physische Adressdaten anvertrauen.

Der Präzedenzfall existiert außerhalb des Krypto-Bereichs. Zahlungskartennetzwerke verlangen von Händlern und ihren Prozessoren die Einhaltung der PCI-DSS-Vorschriften, einschließlich regelmäßiger Schwachstellen-Scans und Penetrationstests. Ein Händler, der die Vorschriften nicht einhält, kann seine Fähigkeit verlieren, Karten zu verarbeiten. Für Unternehmen, die Krypto-Kundenadressdaten verarbeiten, existiert kein gleichwertiger Standard. Die Branche behandelt Adressdaten als logistisches Detail und nicht als sicherheitskritisches Asset, obwohl Adressdaten in Verbindung mit dem Nachweis des Krypto-Besitzes ein höheres Risiko pro Datensatz darstellen als eine gestohlene Kreditkartennummer, die rückgängig gemacht werden kann, je.

Trezors Ankündigung der anonymen Lieferung ist das erste Anzeichen dafür, dass mindestens ein Unternehmen das strukturelle Problem erkennt. Ob Wettbewerber folgen und ob der Ansatz über den Versand hinaus auf Analyse-, Support- und Marketing-Tools ausgeweitet wird, wird bestimmen, ob August 2026 zu einem Wendepunkt wird oder zu einem weiteren Vorfall, der Offenlegungen, Benachrichtigungen und keine dauerhafte Veränderung produziert.

Das Gegenargument: Warum sich möglicherweise nicht viel ändert

Das Gegenargument ist, dass Datenschutzverletzungen Routine sind und der Zusammenhang mit physischer Gewalt übertrieben ist. Millionen von E-Commerce-Kundendatensätzen werden jährlich gestohlen. Die überwiegende Mehrheit der Opfer erleidet nichts Schlimmeres als Spam. Schraubenschlüssel-Angriffe (Wrench-Angriffe) sind zwar im Steigen begriffen, bleiben aber in absoluten Zahlen selten: 52 verifizierte Fälle bei geschätzten 400 Millionen Kryptowährungsnutzern weltweit.

Dieses Argument hat in Bezug auf die Grundrate seine Berechtigung. Es scheitert am Auswahlproblem. Eine allgemeine E-Commerce-Datenschutzverletzung verrät einem Angreifer nicht, welche Opfer liquide, inhabergebundene Vermögenswerte an einer bekannten Adresse aufbewahren. Eine Krypto-Wallet- oder Broker-Datenschutzverletzung tut dies. Der Angreifer kann die gestohlene Datenbank mithilfe von Kaufhistorie, Wallet-Adressen und Bestellhäufigkeit nach hochwertigen Zielen filtern. Die Zielauswahl ist präzise, wie es eine Datenschutzverletzung bei einem Bekleidungshändler nie ist.

Coinbase hat in seinem jüngsten Jahresbericht offengelegt, dass es 8,7 Millionen Dollar für physische Sicherheitsmaßnahmen für Mitarbeiter und Führungskräfte als Reaktion auf den Trend der Schraubenschlüssel-Angriffe ausgegeben hat. Wenn die Bedrohung übertrieben wäre, gäbe es diese Position nicht.

Was man im Auge behalten sollte

• Zeitplan für den Start von Trezor Anonymous Delivery. Das EU-Ziel ist September 2026, das US-Ziel ist Ende des Jahres. Wenn es planmäßig ausgeliefert wird, werden andere Hardware-Wallet-Hersteller unter Druck geraten, es ihnen gleichzutun.
• Übernahmerate des Metabase-Patches. Zum Zeitpunkt der Beratung waren über 97 % der identifizierten selbst gehosteten Instanzen auf betroffenen Zweigen ungepatcht. Die nächste Welle von Sicherheitsverletzungen durch CVE-2026-72898 ist eine Frage der Zeit, nicht der Wahrscheinlichkeit.
• Französische Gesetzesinitiative. Da 33 der 52 bestätigten Schraubenschlüssel-Angriffe in Frankreich konzentriert sind, hat das Innenministerium des Landes mögliche regulatorische Maßnahmen zur Speicherung und Weitergabe von Kundendaten durch Krypto-Unternehmen signalisiert.
• CertiK- und Chainalysis-Berichte für H2 2026. Die H1-Zahlen zeigten 52 Vorfälle und eine Exposition von 124,1 Millionen US-Dollar. Die H2-Daten, die Anfang 2027 erwartet werden, werden zeigen, ob die August-Breach-Cluster einen messbaren Anstieg physischer Angriffe verursachen.
• Änderungen der Aufbewahrungsrichtlinien in der gesamten Branche. SafePal ist auf 90 Tage umgestiegen. Ob Wettbewerber folgen oder ob 90 Tage zum De-facto-Standard werden, wird zeigen, wie ernst die Branche das Problem der Verkäuferdaten nimmt.

Häufig gestellte Fragen