Trezor meldet Datenverletzung bei Drittanbieter-Versanddienstleister mit Auswirkungen auf über 13.600 Kunden
Wichtige Erkenntnisse
- •Etwa 13.689 Trezor-Kunden waren von einer Datenverletzung bei einem Drittanbieter-Versanddienstleister betroffen, wobei bei 11.742 vollständige persönliche Informationen offengelegt wurden und bei 1.947 Teildaten kompromittiert wurden.
- •Die Datenverletzung beschränkte sich auf die Daten des externen Versanddienstleisters und hatte keine Auswirkungen auf die internen Systeme, Hardware-Wallets, privaten Schlüssel oder Kryptowährungs-Assets von Trezor.
- •Die offengelegten Kundendaten – einschließlich Namen, physischer Adressen, Telefonnummern und E-Mails – könnten hochgradig gezielte Phishing-Kampagnen ermöglichen, die sich das bekannte Hardware-Wallet-Eigentum der Opfer zunutze machen.
- •Trezor benachrichtigt weiterhin betroffene Nutzer und koordiniert sich mit dem Versanddienstleister, während Kunden aufgefordert werden, alle Kommunikation über offizielle Kanäle zu verifizieren und niemals Wiederherstellungsphrasen weiterzugeben.
- •Der Vorfall erinnert an eine ähnliche Datenverletzung beim Mitbewerber Ledger im Jahr 2020, die ungefähr 270.000 Kunden betraf und zu weit verbreiteten Phishing-Angriffen und physischen Bedrohungen gegen Nutzer führte.
Der Hardware-Wallet-Hersteller Trezor hat eine Datenverletzung bei einem seiner Drittanbieter-Versanddienstleister gemeldet, die die persönlichen Informationen von Tausenden von Kunden offengelegt hat.
Nach Angaben des Unternehmens betraf der Vorfall 11.742 Kunden, deren vollständige Namen, Adressen, Telefonnummern und E-Mail-Adressen offengelegt wurden. Weitere 1.947 Kunden hatten teilweise kompromittierte Daten, sodass die Gesamtzahl der betroffenen Personen bei etwa 13.689 liegt.
Die Datenverletzung beschränkte sich auf die beim externen Versanddienstleister hinterlegten Informationen und betraf nicht die internen Systeme von Trezor. Trezor, hergestellt von dem in Tschechien ansässigen Unternehmen SatoshiLabs, ist eine der bekanntesten Hardware-Wallet-Marken in der Kryptowährungsbranche, neben Mitbewerbern wie Ledger. Der Vorfall verdeutlicht eine anhaltende Herausforderung für Hardware-Wallet-Hersteller: Während die Geräte selbst darauf ausgelegt sind, private Schlüssel offline und sicher zu halten, führt die für die physische Auslieferung erforderliche Logistikkette eine separate Angriffsfläche ein, die sich der direkten Kontrolle des Herstellers entzieht.
Systeme und Geräte bleiben sicher
Trezor betonte, dass seine Systeme, Hardware-Wallets und Kundengeräte weiterhin sicher seien, und stellte fest, dass der Vorfall die Sicherheit der Wallets oder private Schlüssel nicht beeinträchtigt habe.
Es wurden keine Kryptowährungs-Assets als Folge der Datenverletzung als gestohlen gemeldet. Die offengelegten persönlichen Informationen könnten jedoch das Risiko von Phishing-Versuchen und anderen Social-Engineering-Angriffen erhöhen, die auf betroffene Kunden abzielen. Die Kombination aus Namen, physischen Adressen, Telefonnummern und E-Mail-Adressen ist im Kontext von Kryptowährungen besonders sensibel, da sie hochgradig gezielte Phishing-Kampagnen oder Identitätsbetrugsversuche ermöglichen könnte, die sich das bekannte Eigentum des Opfers an einer Hardware-Wallet zunutze machen.
Das Unternehmen wird voraussichtlich weiterhin betroffene Nutzer benachrichtigen und mit dem Versanddienstleister zusammenarbeiten, während die Untersuchung voranschreitet.
Kunden werden zu Wachsamkeit aufgerufen
Die Datenverletzung unterstreicht die Risiken, die mit Drittanbietern in der Kryptowährungsbranche verbunden sind. Es ist nicht das erste Mal, dass ein großer Hardware-Wallet-Hersteller von einem Datenleck-Vorfall betroffen ist: Der Mitbewerber Ledger erlebte 2020 eine erhebliche Verletzung seiner E-Commerce-Datenbank, die ungefähr 270.000 Kunden betraf und zu weit verbreiteten Phishing-Kampagnen und Berichten über physische Bedrohungen gegen betroffene Nutzer führte. Dieser Vorfall löste branchenweite Diskussionen über Datenminimierung und den Umgang mit Kundeninformationen in den Fulfillment-Prozessen von Hardware-Wallets aus.
Kunden, die von dem Trezor-Vorfall betroffen sind, sollten bei unaufgeforderten E-Mails, Anrufen oder Nachrichten, die sensible Informationen oder Wallet-Wiederherstellungsdetails anfordern, vorsichtig bleiben.
Während die Untersuchung andauert, werden Nutzer aufgefordert, alle Kommunikation direkt über offizielle Kanäle mit Trezor zu verifizieren und unter keinen Umständen Wiederherstellungsphrasen oder private Schlüssel weiterzugeben.
