Eine Datenverletzung bei ShipMonk, dem Logistikunternehmen, das die Auftragsabwicklung für den Hardware-Wallet-Hersteller Trezor übernimmt, hat Informationen zu 13.689 Trezor-Käufern offengelegt – darunter 11.742 Lieferadressen – und bringt damit persönliche Daten von Hardware-Wallet-Besitzern in Gefahr.

Was bei der ShipMonk-Datenverletzung geschah

Trezor teilte auf X mit, dass eine Datenverletzung bei ShipMonk Kundendaten von 13.689 Trezor-Käufern offengelegt hat. Den Berichten von BleepingComputer zufolge betraf der Vorfall fast 14.000 Kunden.

ShipMonk ist ein Fulfillment-Dienstleister für den E-Commerce – ein großer, in Fort Lauderdale, Florida, ansässiger Akteur im Direct-to-Consumer-Bereich –, der im Auftrag von Online-Marken Produkte lagert und versendet. Da das Unternehmen Trezor-Geräte an Kunden ausliefert, verfügte es über Bestelldaten, die Käufer mit ihren physischen Versanddaten verknüpften. Von den offengelegten Datensätzen enthielten 11.742 Lieferadressen.

Trezor-Geräte werden von SatoshiLabs hergestellt, dem in Prag ansässigen Unternehmen, dessen ursprünglicher Trezor aus dem Jahr 2014 die erste breit verfügbare Krypto-Hardware-Wallet war. Diese Geschichte ist ein Grund, warum die Käuferliste sensibel ist: Sie funktioniert wie ein Verzeichnis von Personen, die plausibel selbstverwahrte Vermögenswerte besitzen.

Warum offengelegte Lieferadressen für Wallet-Besitzer wichtig sind

Lieferadressen sind für Käufer von Hardware-Wallets besonders sensibel, da sie eine reale Wohnadresse mit einer Person verknüpfen, die wahrscheinlich selbstverwahrte Kryptowährungen besitzt. Das ist eine andere Art der Offenlegung als ein gewöhnlicher E-Commerce-Datenleck.

Die zentrale Sorge gilt der Privatsphäre in der physischen Welt und nicht der Sicherheit der Guthaben. Ein Trezor-Gerät verwahrt private Schlüssel offline, sodass die Datenverletzung die Wallets selbst nicht kompromittiert – sie kann aber aufdecken, wer ein solches Gerät besitzt und wo diese Person wohnt.

Sicherheitsforscher haben davor gewarnt, dass diese Art der Offenlegung das Risiko realer Angriffe erhöht. CryptoSlate wies darauf hin, dass eine Datenverletzung, die Tausende Trezor-Besitzer offenlegt, angesichts eines Anstiegs gewalttätiger Krypto-Hauseinbrüche die physische Sicherheit gefährdet.

Dieser Hintergrund ist nicht hypothetisch. In seiner Untersuchung zu diesem Trend hat Chainalysis dokumentiert, dass gewalttätige „Wrench-Angriffe“ zunehmen, bei denen Opfer physisch dazu gezwungen werden, ihre Kryptowährungen herauszugeben – der Name spielt auf eine alte Sicherheits-Redewendung an, die in einem xkcd-Comic eindrucksvoll festgehalten wurde und besagt, dass ein Schraubenschlüssel für 5 US-Dollar jede Verschlüsselung besiegen kann. Ein separater Bericht von CertiK und Intel3D ergab für das erste Halbjahr 2026 einen Anstieg der physischen Krypto-Kriminalität um 33 Prozent, mit geschätzten Verlusten von mehr als 124 Millionen US-Dollar.

Die Hardware-Wallet-Branche hat für diese Art von Datenleck einen vielbeachteten Präzedenzfall. Im Jahr 2020 gab der Konkurrent Ledger bekannt, dass seine E-Commerce-Datenbank kompromittiert worden war und Namen, Telefonnummern und Postanschriften von rund 272.000 Geräte-Käufern offenlegte; als diese Datenbank später in einem Hacker-Forum veröffentlicht wurde, befeuerte dies monatelange Phishing-Kampagnen und Berichte über Bedrohungen gegen Kunden. Wie beim Trezor-Vorfall waren weder Wallet-Schlüssel noch Zahlungsdaten betroffen – der Schaden ging vom Adressverzeichnis selbst aus.

Worauf Trezor-Käufer als Nächstes achten sollten

Betroffene Käufer sollten unaufgeforderte Kontaktaufnahmen mit Misstrauen begegnen. Die Offenlegung von Kundendaten und Adressen führt häufig zu nachgelagerten Phishing-E-Mails, gefälschten Support-Nachrichten und Identitätsbetrugsversuchen. Nachrichten, die sich auf die Datenverletzung beziehen – oder unaufgefordert vom „Trezor-Support“ eintreffen –, sind ein besonderes Warnsignal, da Angreifer öffentliche Bekanntgaben von Datenverletzungen routinemäßig ausnutzen, um glaubwürdig zu erscheinen.

Trezor wird nie nach einem Recovery Seed fragen, und kein seriöser Support-Kanal benötigt ihn jemals. Ein Recovery Seed ist die Sicherungsphrase, die den Zugriff auf eine Hardware-Wallet kontrolliert; wer sie in die Hände bekommt, kann die Kontrolle über die damit geschützten Guthaben erlangen. Käufer sollten jede Kommunikation über offizielle Kanäle überprüfen und nicht über Links, die per E-Mail oder Nachricht gesendet werden.

Die Datenverletzung zeigt zudem eine Vertrauenslücke in der Lieferkette auf: Selbst wenn die eigenen Systeme eines Unternehmens sicher sind, können Kundendaten, die bei Drittpartnern wie ShipMonk liegen, zur Schwachstelle werden. E-Commerce-Marken geben Bestelldaten routinemäßig an Fulfillment-Dienstleister, E-Mail-Plattformen und Analyseanbieter weiter, und jede Übergabe vergrößert die Zahl der Systeme, aus denen eine Datenverletzung stammen kann.

Hinweis: Dieser Artikel dient ausschließlich Informationszwecken und stellt keine Finanz- oder Anlageberatung dar. Kryptowährungs- und digitale Vermögensmärkte bergen erhebliche Risiken. Führen Sie vor Entscheidungen immer Ihre eigenen Recherchen durch.