Kurz zusammengefasst

  • Ein Sicherheitsvorfall bei ShipMonk, einem der Fulfillment-Partner von Trezor, legte personenbezogene Daten von 13.689 Trezor-Kunden offen.
  • Vollständige Namen, Telefonnummern, E-Mail-Adressen und Versandadressen wurden bei 11.742 von ihnen erbeutet.
  • Trezor gibt an, dass kein Gerät, kein privater Schlüssel und kein Wallet-Backup betroffen war und dass die eigenen Systeme nicht kompromittiert wurden.

Ein Datenleck bei einem der Versanddienstleister von Trezor hat die Namen, Telefonnummern, E-Mail-Adressen und Privatadressen von Tausenden Kunden des Hardware-Wallet-Herstellers offengelegt, wie das Unternehmen am Donnerstag bekannt gab.

ShipMonk, das Trezors Produkte lagert und versendet, teilte dem Unternehmen am Montag mit, dass eine unbefugte Partei auf Systeme mit Kundendaten zugegriffen habe. Bei etwa 11.742 Kunden wurden vollständige Daten erbeutet, bei weiteren 1.947 wurden Namen, Städte und E-Mail-Adressen offengelegt – insgesamt 13.689. Die Betroffenen gaben zwischen dem 10. Mai und dem 8. August Bestellungen auf und ließen sie in die USA, nach Großbritannien, Schweden, Kolumbien, Brasilien, Italien oder Portugal liefern.

Trezor erklärte, dass die eigenen Systeme nicht kompromittiert wurden und dass kein Gerät, kein privater Schlüssel und kein Wallet-Backup betroffen war. Das begrenzte Ausmaß führte das Unternehmen auf eine Richtlinie zurück, die Partner dazu verpflichtet, Bestelldaten 90 Tage nach der Lieferung zu löschen oder zu anonymisieren, sodass ältere Bestellungen nicht mehr gespeichert waren. Kunden, die keine Benachrichtigungs-E-Mail erhalten haben, sind nicht betroffen, hieß es. In 13 Jahren, so fügte das Unternehmen hinzu, habe es zuvor noch nie einen Vorfall gegeben, bei dem Telefonnummern und Versandadressen von Kunden offengelegt wurden.

Phishing und „Schraubenschlüssel-Angriffe“

Nachdem bei etwa 272.000 Ledger-Kunden Namen, Adressen und Telefonnummern veröffentlicht worden waren, begannen einige, Erpressungsforderungen mit Gewaltandrohungen zu erhalten. Einer erzählte Decrypt, dass er täglich mehrere E-Mails und SMS erhielt, während andere später von Phishing-Anrufen von Personen berichteten, die so taten, als würden sie sie kennen.

Diese Bedrohungen haben nun mehr Gesellschaft, da CertiK 52 physische Angriffe auf Krypto-Inhaber weltweit in der ersten Hälfte von 2026 verifiziert hat, gegenüber 39 im Vorjahr, und Einbrüche in Wohnhäuser Entführungen als häufigste Methode überholt haben. Chainalysis bezifferte die Summe, die im gleichen Zeitraum gestohlen wurde, auf über 30 Millionen Dollar und sagte, das Jahr sei auf dem besten Weg, das schlimmste seit Beginn der Aufzeichnungen zu werden.

Dies ist nicht der erste derartige Vorfall, der die Lieferkette für Hardware-Wallets trifft. Ledger hat im Januar einen Verstoß bei seinem eigenen E-Commerce-Partner Global-e offengelegt, und Hardware-Wallet-Firmen warnten in diesem Monat vor einer Phishing-Welle, da die Verluste durch den Coldcard-Exploit fast 130 Millionen Dollar erreichten.

Die Nachricht kommt, während Nutzer von Hardware-Wallets durch den kürzlichen Coldcard-Exploit erschüttert wurden. Ein Teil der 233.000 BTC, die im Zusammenhang mit dem Coldcard-Verstoß aus Wallets von Langzeitinhabern abflossen, im Wert von rund 15 Milliarden Dollar, stammte laut Casa von Ledger- und Trezor-Besitzern und nicht von Coldcard-Kunden, die nach dem Verfolgen des Exploits zu Multi-Signatur-Setups wechselten.

Trezor sagte, dass es eine Option für anonyme Lieferung einführt, die Schließfachabholung, neutrale Verpackung, generische Absenderdetails und automatische Löschung von Versandkennungen nutzt, mit Ziel Europäische Union bis September und USA bis Ende des Jahres.