Persönliche Daten von 13.689 Trezor-Kunden wurden nach einem Sicherheitsverstoß bei ShipMonk offengelegt, dem externen Logistikdienstleister, der den Versand für Trezor-Shop-Bestellungen in mehreren Märkten übernimmt.

Trezor machte den Vorfall am 13. August bekannt und stellte fest, dass der Verstoß Kunden betrifft, die in den USA, im Vereinigten Königreich, in Schweden, Kolumbien, Brasilien, Italien oder Portugal in den 90 Tagen vor dem 8. August Bestellungen erhalten haben. ShipMonk informierte Trezor am 10. August über einen unbefugten Zugriff auf Systeme mit Kundendaten.

Umfang der offengelegten Daten

Vollständige Namen, Versandadressen, Telefonnummern und E-Mail-Adressen wurden für 11.742 Kunden offengelegt. Weitere 1.947 Kunden hatten ihre Namen, Städte und E-Mail-Adressen preisgegeben.

Trezor betonte, dass die eigenen Systeme, Hardware-Wallets, privaten Schlüssel und Wallet-Backups nicht kompromittiert wurden. Die offengelegten Versanddatensätze bestätigen jedoch implizit, dass diese Personen Krypto-Hardware-Wallets besitzen, was sie zu hochwertigen Zielen für Social Engineering macht. Mit Namen, Adressen und Telefonnummern können Betrüger gezielte Phishing-E-Mails, Anrufe und physische Post erstellen, die sich als Trezor, Krypto-Börsen, Banken oder Lieferunternehmen ausgeben.

Ein vergleichbarer Angriff führte zuvor dazu, dass ein Ledger-Nutzer approximately 1,07 Millionen US-Dollar verlor, nachdem er einen gefälschten Support-Brief erhalten hatte, der ihn zu einer Phishing-Website leitete, die nach der Wiederherstellungsphrase verlangte.

Trezor kontaktierte alle betroffenen Kunden direkt über help@trezor.io. Kunden, die keine Benachrichtigungs-E-Mail erhalten haben, gehören nicht zur identifizierten Gruppe der vom Datenverstoß Betroffenen.

Datenaufbewahrungsrichtlinie begrenzte den Umfang

Trezor verlangt, dass Kaufinformationen 90 Tage nach der Lieferung gelöscht oder anonymisiert werden, und ShipMonk unterliegt derselben Aufbewahrungsanforderung. Infolgedessen waren ältere Kundendatensätze bereits aus den betroffenen Systemen entfernt worden. Ohne diese Richtlinie hätte der Verstoß Versanddaten freilegen können, die über einen wesentlich längeren Zeitraum gesammelt wurden, anstatt nur Bestellungen, die seit dem 10. Mai geliefert wurden.

Der Vorfall veranschaulicht eine breitere Herausforderung für Unternehmen, die eine starke interne Sicherheit aufrechterhalten, aber für Logistik, Druck oder Kundensupport auf Drittanbieter angewiesen sind – jeder externe Partner stellt eine zusätzliche Angriffsfläche außerhalb der direkten Kontrolle des Hauptunternehmens dar.

Trezor plant, bis September eine anonyme Lieferoption in der Europäischen Union einzuführen, wobei eine Einführung in den USA vor Ende 2026 erwartet wird. Das vorgesehene System würde Paketstellen-Abholpunkte, neutrale Verpackung, allgemeine Absenderangaben und automatische Löschung von Versandkennungen nach der Lieferung nutzen.

Trezor mahnt zur Wachsamkeit gegenüber Phishing

Trezor rät betroffenen Kunden, jede unaufgeforderte Kommunikation, die sofortiges Handeln oder persönliche Informationen verlangt, als verdächtig zu behandeln. Das Unternehmen wiederholte, dass ein Wallet-Backup niemals auf einer Website eingegeben oder mit niemandem geteilt werden sollte, der behauptet, Trezor zu vertreten.

Der Vorfall ereignet sich vor dem Hintergrund einer breiteren Welle von Sicherheitsereignissen im Bereich Krypto-Wallets. Mit Coldcard verbundene Wallet-Abflüsse stellten den größten Krypto-Sicherheitsverlust im Juli dar, während ein anderer Ethereum-Wale kürzlich durch einen Phishing-Angriff 25,6 Millionen US-Dollar verlor, nachdem er 2023 bereits 24,2 Millionen US-Dollar aus demselben Wallet verloren hatte.

ShipMonk hat die betroffenen Systeme gesichert, während die Untersuchung andauert, und der Betrieb von Trezor bleibt online. Dies ist der erste Datenverstoß seit der Gründung von Trezor im Jahr 2013, bei dem Kundentelefonnummern und Versandadressen offengelegt wurden.