Trezor-Datenleak weitet sich auf 67.000 weitere US-Kunden aus
Wichtige Erkenntnisse
- •Das Datenleck bei Trezor betrifft nun 67.000 zusätzliche US-Kunden, die zwischen November 2019 und August 2021 bestellt haben – deutlich mehr als die ursprüngliche Schätzung von 14.000 Nutzern.
- •Zu den offengelegten Informationen gehören Namen, E-Mail-Adressen, Telefonnummern, Lieferadressen und Bestelldetails; Trezor zufolge war dies auf das Versäumnis des Versanddienstleisters ShipMonk zurückzuführen, die Daten trotz schriftlicher Zusicherungen nicht zu löschen.
- •Trezors eigene Systeme wurden nicht kompromittiert, doch Angreifer könnten die offengelegten Daten nutzen, um das Unternehmen in Phishing-Versuchen zu imitieren und Seed-Phrasen der Nutzer zu stehlen.
- •Phishing- und Social-Engineering-Betrug machten laut der Blockchain-Sicherheitsfirma Hacken 306 Millionen der 482 Millionen US-Dollar an Verlusten der Krypto-Branche im ersten Quartal aus.
- •Drittanbieter wie Versanddienstleister und Kundensupport-Tools sind wiederholt zu Schwachstellen in der Datensicherheit von Krypto-Firmen geworden.
Die Auswirkungen des Datenleaks beim Hardware-Wallet-Anbieter Trezor haben sich als größer erwiesen als zunächst geschätzt und betreffen nun 67.000 zusätzliche US-Kunden.
In einem X-Beitrag am Freitag erklärte Trezor unter Verweis auf das neueste Update seines Versanddienstleisters ShipMonk, dass das Leck weitere US-Nutzer gefährden könnte, die zwischen November 2019 und August 2021 Bestellungen aufgegeben haben.
Bei den betroffenen Kunden wurden sämtliche Daten offengelegt, darunter Namen, E-Mail-Adressen, Telefonnummern, Lieferadressen und Bestelldetails. Trezor machte den Versanddienstleister dafür verantwortlich, die Daten dieser Bestellungen nicht gelöscht zu haben, obwohl das Unternehmen schriftliche Zusicherungen von ShipMonk erhalten hatte.
Obwohl Trezors eigene Systeme nicht kompromittiert wurden, könnte das Datenleck die digitalen Vermögenswerte der 67.000 Kunden gefährden. Angreifer könnten die offengelegten Informationen für Phishing-Angriffe nutzen, bei denen sie sich als Trezor ausgeben, um die Seed-Phrasen der Nutzer zu stehlen, mit denen deren Wallets kontrolliert werden. Hardware-Wallets wie die von Trezor sind gerade dazu konzipiert, private Schlüssel offline zu halten, um_remote Kompromittierung zu verhindern – doch dieser Schutz greift nicht, wenn ein Nutzer seine Wiederherstellungsphrase freiwillig an jemanden weitergibt, der sich als Hersteller ausgibt. Deshalb sind Datenleaks dieser Art für Social-Engineering-Betrüger besonders wertvoll, da sie überzeugende, personalisierte Nachrichten mit echten Bestelldetails verfassen können.
Im August hatte Trezor zunächst geschätzt, dass nur 14.000 Nutzer über den Versanddienstleister Daten offengelegt bekommen hatten. Separat meldete Trezor im Januar 2024, dass etwa 66.000 Nutzer von Phishing-Angriffen bedroht sein könnten, sofern sie seit Dezember 2021 das Support-Team des Unternehmens kontaktiert hatten. Der Vorfall ist kein Einzelfall bei Trezor: Drittanbieter wie Versanddienstleister, Marketingplattformen und Kundensupport-Tools wurden schon wiederholt zur schwachen Stelle in der Datensicherheit von Krypto-Firmen, da Unternehmen ihre eigene Infrastruktur kontrollieren können, aber auf vertragliche Zusicherungen externer Partner angewiesen sind.
Für Phishing-Angriffe und Social Engineering müssen keine Code-Schwachstellen ausgenutzt werden. Dennoch verursachten diese auf Identitäts täuschung basierenden Betrugsmaschen den Großteil der Verluste in der Krypto-Branche im ersten Quartal des Jahres – 306 Millionen von insgesamt 482 Millionen US-Dollar – wie die Blockchain-Sicherheitsfirma Hacken berichtete.
Im Juli verlor ein Krypto-Investor fast 1 Million US-Dollar, nachdem er eine bösartige Phishing-Token-Genehmigungstransaktion auf Ethereum signiert hatte.
