In einer am Freitag veröffentlichten Aktualisierung teilte Trezor mit, dass das Datenleck bei seinem Versandpartner ShipMonk erheblich schwerwiegender war als zunächst angenommen. Die persönlichen Daten von weiteren 67.000 US-Nutzern – darunter Namen, Adressen, Telefonnummern, E-Mail-Adressen und Bestelldaten – wurden offengelegt. Damit steigt die Gesamtzahl der betroffenen Nutzer auf 80.700, was Besitzer von Trezor-Wallets einem Risiko aussetzt.

Der neu identifizierte Datenbestand umfasst Bestellungen US-amerikanischer Kunden zwischen November 2019 und August 2021, wie Trezor am Freitag in einem Beitrag auf X bekannt gab. Ein Teil dieser Informationen ist fast sieben Jahre alt. Das ist relevant: Als Trezor das Datenleck im August erstmals bekannt gab, wurde die vom Logistikpartner umgesetzte 90-tägige Datenlöschrichtlinie als Faktor genannt, der die Zahl der betroffenen Nutzer begrenzt habe.

Der Fall verdeutlicht ein breiteres Risiko in der Branche der Hardware-Wallets: Selbst wenn die Sicherheit eines Anbieters selbst intakt ist, bringen ausgelagerte Logistik- und Kundendienstleistungen Drittanbieter ins Spiel, die sensible Kundendaten halten. Trezor ist wie der Konkurrent Ledger auf externe Logistikdienstleister für den weltweiten Versand von Geräten angewiesen, sodass die Privatsphäre der Kunden teilweise von Partnern abhängt, deren Datenaufbewahrungspraktiken sie nicht direkt kontrollieren.

Trezor-Datenleak steigt auf 80.700 Nutzer

Trezor erläuterte, dass das Unternehmen ShipMonk wiederholt um Nachweise gebeten hatte, die bestätigen sollten, dass Bestelldaten älter als 90 Tage gelöscht wurden. Jedes Mal erhielt das Unternehmen positive Antworten. Nun erklärte Trezor, dass sich diese Dokumente als falsch erwiesen, und berichten zufolge macht das Unternehmen den Versanddienstleister klar für die Speicherung der zur Löschung zugesagten Daten verantwortlich.

Die neuen Zahlen übersteigen frühere Schätzungen bei Weitem. Im August hatte Trezor die Zahl der betroffenen Personen noch auf rund 14.000 geschätzt. ShipMonk meldete seine aktualisierten Erkenntnisse zwei Tage vor der Freigabe am Freitag an Trezor, wodurch sich die Gesamtzahl auf etwa 80.700 Nutzer erhöhte.

Two days ago, we received an update from our shipping provider, ShipMonk. We're deeply saddened to share the news that the recent data breach affects more customers than originally thought. Another 67,000 customers from the US who ordered between November 2019 and August 2021…

— Trezor (@Trezor) September 4, 2026

Trezor stellte klar, dass die eigenen Systeme nicht kompromittiert wurden. Es wurden keine Geräte, privaten Schlüssel oder Wallet-Backups offengelegt, da das Leck ausschließlich auf der Logistikseite erfolgte. Kompromittiert wurden jedoch Kundendaten wie Kontakt- und Versandinformationen. Dennoch zeigt der Vorfall die Grenzen von Zusicherungen durch Dienstleister auf: Vertragliche Löschrichtlinien und bestätigende Dokumentationen erwiesen sich allein als unzureichend, um zu gewährleisten, dass Daten tatsächlich entfernt wurden – eine Herausforderung, die weit über die Kryptobranche hinausgeht und jedes Unternehmen betrifft, das Kundendaten an externe Dienstleister übergibt.

Wie eine Mailingliste zur Waffe wird

Die größte Gefahr liegt in der gezielten Ansprache. Eine geleakte Mailingliste verifizierter Besitzer von Hardware-Wallets – einschließlich ihrer Wohnadressen – ermöglicht es Angreifern, genau diese Personen per E-Mail, Anrufen und sogar per Post mit Phishing-Versuchen zu targetieren. Trezor rief betroffene Nutzer zur Wachsamkeit gegenüber solchen Versuchen auf und wies auf die Gefahr für die persönliche Sicherheit hin. Da Hardware-Wallets als Mittel zur Selbstverwahrung erheblicher Kryptobestände vermarktet werden, ist eine Käuferliste faktisch eine Liste von Personen, die mit hoher Wahrscheinlichkeit digitale Vermögenswerte besitzen – das erhöht die Tragweite im Vergleich zu einer gewöhnlichen Handels-Mailingliste.

Diese Bedrohung ist bereits real. Im Februar erhielten Besitzer von Trezor- und Ledger-Wallets gefälschte Briefe mit aufgedruckten Hologrammen, QR-Codes und sogar gefälschten Unterschriften von Führungskräften, die sie zu einem fingierten Sicherheitstest aufforderten oder mit der Kontosperrung drohten. Der Cybersecurity-Experte David Sehyeon Baek stellte fest, dass ein gefälschter Brief mit echtem Namen und echter Adresse die Psychologie des Betrugs verändert.

Das Ausmaß des Phishing-Problems

Für einen Betrug mittels Identitätsnachahmung ist keine technische Sicherheitslücke nötig, um die Wallet eines Nutzers zu leeren. Solche Machenschaften dominieren bereits die Verluststatistiken im Kryptobereich: Die Blockchain-Cybersicherheitsfirma Hacken stellte fest, dass Phishing- und Social-Engineering-Betrügereien im ersten Quartal des Jahres 306 Millionen von insgesamt 482 Millionen US-Dollar an gestohlenen Kryptowährungen ausmachten. Im Juli verlor ein Investor beim Bestätigen einer bösartigen Token-Transaktion auf Ethereum beinahe 1 Million US-Dollar.

Es ist zudem nicht das erste Mal, dass Trezor mit einem Vorfall rund um offengelegte Kundendaten zu tun hatte. Im Januar 2024 gab das Unternehmen bekannt, dass rund 66.000 Kunden, die seit Dezember 2021 den Support kontaktiert hatten, Phishing-Betrugsversuchen ausgesetzt waren. Da die betroffene Gruppe nun ein Mehrfaches so groß ist, könnten Kunden, die zwischen Ende 2019 und Mitte 2021 ein Trezor-Gerät bestellt haben, noch eine Weile mit gezielten Betrugsversuchen – per E-Mail, Telefon oder Post – rechnen. Weitere Updates von Trezor oder ShipMonk zum endgültigen Ausmaß des Löschversäumnisses bleiben möglich, zumal die Zahlen bereits einmal nach oben korrigiert wurden.