Trezor meldet ShipMonk-Datenverletzung mit Auswirkungen auf 13.700 Kunden in sieben Ländern
Wichtige Erkenntnisse
- •Eine Datenverletzung bei Trezors Logistikdienstleister ShipMonk legte die persönlichen Daten von rund 13.700 Kunden in sieben Ländern offen, darunter den Vereinigten Staaten, dem Vereinigten Königreich, Schweden, Kolumbien, Brasilien, Italien und Portugal.
- •Von den Betroffenen erlebten 11.742 Kunden eine vollständige Offenlegung von Namen, Versandadressen, Telefonnummern und E-Mail-Adressen, während 1.947 Kunden einer teilweisen Offenlegung ausgesetzt waren, die auf Name, Stadt und E-Mail beschränkt war.
- •Trezor bestätigte, dass die eigenen internen Systeme und Hardware-Geräte nicht kompromittiert wurden, und das Ausmaß der Datenverletzung durch eine 90-tägige Datenaufbewahrungsrichtlinie begrenzt war, die von Erfüllungspartnern verlangt, Bestellaufzeichnungen nach der Lieferung zu löschen oder zu anonymisieren.
- •Als Reaktion auf den Vorfall beschleunigt Trezor einen Dienst zur Anonymen Lieferung, der es Kunden ermöglicht, Spitznamen zu verwenden, Pakete aus automatisierten Schließfächern abzuholen und neutrale Verpackungen zu erhalten, mit einem geplanten EU-Start bis September 2026 und Verfügbarkeit in den USA bis Jahresende.
- •Trezor warnte davor, dass durchgesickerte Kundendaten anspruchsvolle Phishing-Kampagnen ermöglichen könnten, da Angreifer, die von einem Hardware-Wallet-Kauf wissen, glaubwürdigere Social-Engineering-Versuche entwickeln können, bei denen sie sich als Banken, Börsen oder Trezor selbst ausgeben.
Der Hardware-Wallet-Hersteller Trezor hat eine Datenverletzung bei seinem Logistikdienstleister ShipMonk gemeldet, die die persönlichen Daten von rund 13.700 Kunden in sieben Ländern offengelegt hat.
Trezor, betrieben vom in Prag ansässigen SatoshiLabs, ist eine der bekanntesten Hardware-Wallet-Marken in der Kryptowährungsbranche, neben Mitbewerbern wie Ledger. Der Vorfall unterstreicht eine wiederkehrende Herausforderung für den Sektor: Selbst wenn die kryptografischen Geräte selbst sicher bleiben, können Kundendaten, die von Anbietern und Erfüllungspartnern verwaltet werden, zu einem wertvollen Ziel werden. Im Jahr 2020 erlitt Ledger eine schwere Verletzung seiner E-Commerce-Datenbank, die die persönlichen Daten von rund 270.000 Kunden offenlegte, was zu weit verbreiteten Phishing-Kampagnen und Berichten über physische Erpressungsschreiben an betroffene Nutzer führte.
Das Unternehmen beschrieb den aktuellen Vorfall als die erste Offenlegung von Kundentelefonnummern und Versandadressen seit seiner Gründung im Jahr 2013. Betroffen sind Neukunden in den Vereinigten Staaten, dem Vereinigten Königreich, Schweden, Kolumbien, Brasilien, Italien und Portugal, die innerhalb von 90 Tagen vor dem 8. August 2026 Bestellungen erhielten.
Laut Trezor erlangten unbefugte Akteure um den 10. August 2026 Zugriff auf die Systeme von ShipMonk und kompromittierten Bestellaufzeichnungen, die vollständige Namen, Versandadressen, Telefonnummern und E-Mail-Adressen enthielten. Von den Betroffenen erlebten 11.742 Kunden eine vollständige Offenlegung aller vier Datenkategorien, während weitere 1.947 Kunden einer teilweisen Offenlegung ausgesetzt waren, die auf Name, Stadt und E-Mail beschränkt war.
Trezor betonte, dass die eigenen internen Systeme und Hardware-Geräte nicht kompromittiert wurden. Das Ausmaß der Datenverletzung wurde durch eine 90-tägige Datenaufbewahrungsrichtlinie begrenzt, die von Erfüllungspartnern verlangt, Bestellaufzeichnungen nach der Lieferung zu löschen oder zu anonymisieren.
„Wir haben einige schwierige Nachrichten mitzuteilen“, erklärte Trezor in seiner ursprünglichen Ankündigung. „Bedauerlicherweise hat einer unserer Versanddienstleister eine Datenverletzung erlitten, die sensible Bestelldaten offengelegt hat.“
https://x.com/Trezor/status/2087885428313543059
Alle betroffenen Nutzer wurden direkt per E-Mail kontaktiert. Trezor warnte davor, dass durchgesickerte persönliche Daten anspruchsvollere Phishing-Kampagnen ermöglichen könnten, wobei Angreifer möglicherweise Banken, Kryptowährungs-Börsen oder Trezor selbst imitieren könnten, um sensible Informationen von Kunden zu extrahieren. Das Wissen, dass eine Person eine Hardware-Wallet erworben hat, ermöglicht es Angreifern, Social-Engineering-Versuche mit einem höheren Maß an Glaubwürdigkeit anzupassen – eine Taktik, die auch nach ähnlichen Vorfällen bei anderen Wallet-Anbietern beobachtet wurde.
Anonyme Lieferung und erweiterte Datenschutzmaßnahmen
Als Reaktion auf den Vorfall beschleunigt Trezor die Einführung eines Dienstes zur „Anonymen Lieferung“, der die Verknüpfung zwischen dem Kauf von Hardware-Wallets und den realen Identitäten der Kunden trennen soll. Die Funktion, deren Start für die Europäische Union bis September 2026 und für die Vereinigten Staaten bis Jahresende vorgesehen ist, wird einen dedizierten Checkout-Prozess einführen, der es Nutzern ermöglicht, sich unter einem Spitznamen oder einer Label-ID zu registrieren, Pakete aus automatisierten Schließfächern abzuholen und Bestellungen in neutraler Verpackung mit generischen Absenderetiketten zu erhalten. Zustelldienstleister werden Abholcodes ausschließlich per E-Mail oder SMS mitteilen, und Versandkennungen werden nach der Lieferung automatisch gelöscht.
Trezor riet allen Kunden, wachsam gegenüber Phishing-Versuchen per E-Mail, Telefon oder Post zu bleiben und niemals Wallet-Wiederherstellungsphrasen auf Websites einzugeben oder mit Dritten zu teilen.
Das Unternehmen bestätigte, dass ShipMonk die betroffenen Systeme gesichert und seine Sicherheitsmaßnahmen nach dem Vorfall verstärkt hat. Trezor setzt die Untersuchung der vollständigen Umstände der Datenverletzung fort.
