Trezor erweitert Bekanntgabe der Datenpanne auf 81.000 Kunden – physische Sicherheitsbedenken für Hardware-Wallet-Besitzer
Wichtige Erkenntnisse
- •Trezor erweiterte seine Bekanntgabe der Datenpanne um 67.000 zusätzliche US-Kunden, womit die Gesamtzahl der Betroffenen auf rund 81.000 steigt.
- •Die kompromittierten Datensätze stammen vom ehemaligen Erfüllungspartner ShipMonk und umfassen Namen, E-Mail-Adressen, Telefonnummern, Versandadressen und Bestellnummern für Bestellungen zwischen November 2019 und August 2021.
- •Trezor erklärte, dass die eigene Infrastruktur und die Hardware-Wallets nicht kompromittiert wurden und gespeicherte Guthaben sicher bleiben.
- •ShipMonk bewahrte Kundendaten über Jahre auf, trotz vertraglicher Anforderungen und schriftlicher Zusicherungen der Löschung – im Widerspruch zu Trezors 90-Tage-Löschrichtlinie.
- •Trezor entwickelt anonyme Lieferoptionen und warnte betroffene Kunden vor Betrugsversuchen und physischen Sicherheitsbedrohungen – mit Blick auf die Folgen der Ledger-Panne von 2020.
Trezor, ein führender Hersteller von Kryptowährungs-Hardware-Wallets, hat den Umfang einer Datenpanne im Zusammenhang mit seinem ehemaligen Versandpartner ShipMonk erheblich neu bewertet.
Das Unternehmen teilte mit, dass zusätzliche 67.000 US-Kunden, die zwischen November 2019 und August 2021 Bestellungen aufgegeben hatten, von der Kompromittierung ihrer persönlichen Daten betroffen sind – eine deutliche Ausweitung gegenüber den rund 14.000 Personen, die am 13. August zunächst als betroffen gemeldet worden waren.
Die aktualisierte Bekanntgabe erhöht die Gesamtzahl der betroffenen Kunden auf rund 81.000. Die ursprüngliche Panne hatte Namen, E-Mail-Adressen, Telefonnummern und Versandadressen von 11.742 Kunden offengelegt, dazu Teilinformationen zu weiteren 1.947 Personen. Die neu identifizierten Datensätze enthalten umfassende persönliche Angaben, darunter Namen, E-Mail-Adressen, Telefonnummern, Versandadressen und Bestellnummern.
Trezor betonte, dass die eigene Infrastruktur nicht kompromittiert wurde und die Hardware-Wallets weiterhin vollständig sicher sind. Hardware-Wallets wie die von Trezor speichern die privaten Schlüssel der Nutzer offline auf dem Gerät selbst und nicht auf mit dem Internet verbundenen Servern – weshalb die Kompromittierung von Versanddaten statt von Wallet-Systemen die Sicherheit der Guthaben nicht beeinträchtigt. Alle betroffenen Personen wurden direkt per E-Mail kontaktiert; das Unternehmen wies darauf hin, dass Kunden, die keine Benachrichtigung erhalten haben, von dieser neuesten Bekanntgabe nicht betroffen sind.
Two days ago, we received an update from our shipping provider, ShipMonk. We're deeply saddened to share the news that the recent data breach affects more customers than originally thought. Another 67,000 customers from the US who ordered between November 2019 and August 2021…
— Trezor (@Trezor) September 4, 2026
Vertragliche Verstöße und Auswirkungen auf die physische Sicherheit
Der Vorfall deckt schwerwiegende Versäumnisse im Umgang mit Daten durch Dritte sowie in der Vertragserfüllung auf. Während der gesamten Zusammenarbeit mit ShipMonk hatte Trezor wiederholt die Löschung der Kundendaten gefordert und schriftliche Zusicherungen erhalten, dass die Daten gemäß den vertraglichen Verpflichtungen und Datenschutzrichtlinien entfernt worden waren.
Trezor verfolgte eine strenge Richtlinie, die von Erfüllungspartnern verlangte, Bestelldaten innerhalb von 90 Tagen nach Zustellung zu löschen oder zu anonymisieren. Das Unternehmen äußerte tiefe Enttäuschung darüber, dass diese Zusagen nicht eingehalten wurden, sodass sensible Informationen trotz ausdrücklicher schriftlicher Bestätigung ihrer Vernichtung über Jahre in den Systemen von ShipMonk verblieben. Die Ausweitung der Bekanntgabe von rund 14.000 auf etwa 81.000 Personen veranschaulicht zudem, wie Pannen bei Drittanbietern im Laufe von Untersuchungen häufig nach oben korrigiert werden – ein Muster, das sich in vielen Branchen beobachten lässt, die auf externe Logistik- und Erfüllungsdienstleister angewiesen sind.
Über die herkömmlichen Sorgen um Identitätsdiebstahl und digitalen Betrug hinaus verdeutlicht die Panne die besonderen physischen Sicherheitsrisiken für Besitzer von Kryptowährungs-Hardware-Wallets. Die Offenlegung von Wohnadressen in Verbindung mit bekannt gewordenen Käufen von Geräten zur Sicherung hochwertiger digitaler Vermögenswerte schafft Angriffsflächen, die weit über typische Phishing-Kampagnen hinausgehen.
Trezor riet betroffenen Kunden zu erhöhter Wachsamkeit gegenüber Betrugs-E-Mails, betrügerischen Telefonanrufen und täuschenden Zuschriften und räumte zugleich ausdrücklich mögliche physische Sicherheitsrisiken für Personen ein, deren Wohnadressen nun öffentlich mit Kryptowährungsbesitz in Verbindung gebracht werden.
Die Situation ähnelt stark der Ledger-Datenpanne von 2020, bei der Informationen von mehr als 270.000 Kunden offengelegt wurden und die jahrelang anhaltende Social-Engineering-Angriffe, Betrugsanrufe und physische Bedrohungen nach sich zog. Das erneute Auftreten solcher Vorfälle unterstreicht die dringende Notwendigkeit einer stärkeren Kontrolle von Erfüllungspartnern im Sektor der Kryptowährungs-Hardware, und Trezors Entwicklung anonymer Lieferoptionen könnte einen breiteren Branchenwandel hin zur Minimierung der Kundendaten signalisieren, die Hardware-Wallet-Anbieter und deren Dienstleister überhaupt erst erheben und speichern.
Als Reaktion kündigte Trezor an, aktiv anonyme Lieferoptionen zu entwickeln, um Kundeninformationen bei künftigen Transaktionen zu schützen. Das Unternehmen bekräftigte außerdem seine grundlegende Sicherheitsempfehlung, unter keinen Umständen Wiederherstellungsphrasen der Wallet weiterzugeben oder auf einer Website einzugeben.
Quelle: Metaverse Post
