Trezor-Nutzer nach Sicherheitsverletzung bei Drittanbieter für E-Mail-Dienste Ziel einer Phishing-Kampagne
Wichtige Erkenntnisse
- •Trezor warnte, dass eine Phishing-E-Mail mit dem Titel „Critical Security Alert: STM32 Entropy Vulnerability“ nach einem Sicherheitsvorfall bei seinem Drittanbieter für E-Mail-Dienste versendet wurde und nicht vom Unternehmen stammte.
- •Die betrügerischen Nachrichten passierten die üblichen Prüfungen zur Absenderauthentifizierung, darunter DKIM, SPF und DMARC, weil sie von tatsächlich autorisierter Versandinfrastruktur der Domain trezor.io stammten.
- •Die Phishing-E-Mail behauptete fälschlicherweise, dass etwa eines von vier Trezor-Geräten einen Fabrikfehler im Zufallszahlengenerator seiner STM32-Mikrocontroller aufweise, und drängte die Empfänger dazu, auf einen Link zur Prüfung ihres Gerätemodells zu klicken.
- •Trezor hat die bei dem Angriff verwendete Domain abgeschaltet und untersucht, wie Hacker Zugriff auf die legitime Domain des Unternehmens erlangten. Der betroffene E-Mail-Anbieter und die Zahl der Empfänger wurden jedoch nicht offengelegt.
- •Die Phishing-Kampagne folgt auf Trezors Mitteilung über einen unbefugten Zugriff beim Logistikpartner ShipMonk, von dem 13,689 Nutzer und später zusätzlich 67,000 Kunden in den USA betroffen waren. Das Unternehmen hat jedoch nicht erklärt, ob die beiden Vorfälle miteinander verbunden sind.
Der Hersteller von Hardware-Wallets Trezor, der als zweitgrößter Anbieter von Geräten zur Aufbewahrung von Kryptowährungen gilt, hat Nutzer vor einer Phishing-Kampagne gewarnt, die nach einem Sicherheitsvorfall bei seinem Drittanbieter für E-Mail-Dienste gestartet wurde. Das Unternehmen bestätigte, dass eine E-Mail mit dem Titel „Critical Security Alert: STM32 Entropy Vulnerability“ nicht von Trezor stammte, und forderte Kunden auf, keine Links in der Nachricht anzuklicken.
Laut einer auf X veröffentlichten Warnung nutzten Angreifer die kompromittierte Infrastruktur, um betrügerische Sicherheitsmeldungen von einer gefälschten Version der offiziellen Mailing-Domain von Trezor zu versenden. Die Nachrichten passierten die üblichen Prüfungen zur Authentifizierung des Absenders. Trezor erklärte, die bei dem Angriff verwendete Domain abgeschaltet zu haben, und untersuche, wie die Hacker Zugriff auf die legitime Domain des Unternehmens erlangten. Das Unternehmen hat den betroffenen Anbieter und die Zahl der Empfänger nicht offengelegt.
#PeckShieldAlert @Trezor has reported that their third-party email provider has been breached. A #phishing email titled 'Critical Security Alert: STM32 Entropy Vulnerability' is circulating, spoofing the address help@trezor.io – this is NOT a legitimate Trezor communication. Do… — PeckShieldAlert (@PeckShieldAlert) September 10, 2026
Die Phishing-E-Mail war so gestaltet, dass sie wie eine dringende Sicherheitsmitteilung wirkte. Sie behauptete, dass etwa eines von vier Trezor-Geräten einen Fabrikfehler im Zufallszahlengenerator seiner STM32-Mikrocontroller aufweise. Der Nachricht zufolge habe der angebliche Fehler dazu geführt, dass die Seed-Phrasen der Wallets nicht ausreichend gegen Brute-Force-Angriffe geschützt seien. Die Empfänger wurden aufgefordert, einem Link zu folgen, um zu prüfen, ob ihr Gerätemodell betroffen sei.
Die technische Glaubwürdigkeit der Kampagne könnte sie überzeugender gemacht haben als herkömmliche Phishing-Versuche. Marcello Paz, einer der Empfänger, berichtete, dass die E-Mail die Absenderprüfung von Gmail bestanden habe und die Authentifizierungsprüfungen von DKIM, SPF und DMARC für die Domain trezor.io allesamt als gültig erschienen. Die Nachricht wurde über eine Sendinblue-Kampagne von „Trezor Security“ versendet, was zusätzlich zu ihrem legitimen Erscheinungsbild beitrug.
Der Vorfall verdeutlicht, wie Angreifer, die eine vertrauenswürdige Kommunikationsinfrastruktur kompromittieren, die Schutzmechanismen umgehen können, die üblicherweise mit der E-Mail-Authentifizierung verbunden sind. In diesem Fall stammten die betrügerischen Nachrichten von tatsächlich autorisierten Versanddomains und nicht von Domains, die lediglich von Angreifern gefälscht wurden.
Zweiter Sicherheitsvorfall bei Trezor innerhalb weniger Monate
Der Sicherheitsverstoß folgt auf eine Reihe von Meldungen über Sicherheitsvorfälle im Bereich der Hardware-Wallets und bei Trezor. Im August gab Trezor bekannt, dass sein Logistikpartner ShipMonk unbefugten Zugriff erlebt hatte, wodurch Bestellinformationen für den Zeitraum vom 10. Mai bis zum 8. August offengelegt wurden. Der Vorfall betraf 13,689 Nutzer in den USA, im Vereinigten Königreich, in Schweden, Kolumbien, Brasilien, Italien und Portugal.
Die personenbezogenen Daten von 11,742 Kunden waren vollständig kompromittiert, während die Namen, Städte und E-Mail-Adressen von weiteren 1,947 Personen offengelegt wurden. Am 4. September teilte Trezor mit, dass zusätzlich 67,000 Kunden in den USA betroffen waren. Unabhängige Schätzungen gingen davon aus, dass die Gesamtzahl der Betroffenen 80,000 Kunden überschreiten könnte.
Trezor informierte die betroffenen Nutzer über den ShipMonk-Sicherheitsverstoß und warnte sie vor einem erhöhten Phishing-Risiko. Das Unternehmen hat nicht mitgeteilt, ob die beiden Vorfälle miteinander verbunden sind oder ob im Logistikvorfall erlangte Kundendaten genutzt wurden, um Empfänger der aktuellen Kampagne gezielt anzusprechen. Weitere Informationen zum E-Mail-Anbieter, zur Zahl der Empfänger und zur laufenden Untersuchung könnten den Umfang der Kampagne sowie mögliche Überschneidungen mit dem früheren Datenleck klären.
Nutzer sollten bei E-Mails, in denen sie zum Klicken oder zur Angabe persönlicher Informationen aufgefordert werden, vorsichtig sein und Sicherheitsmitteilungen direkt über offizielle Trezor-Kanäle überprüfen, statt eingebettete Links zu verwenden. Die offizielle Website von Trezor ist Die Warnung wurde außerdem in diesem X-Post thematisiert: https://x.com/PeckShieldAlert/status/2097863078406930739?ref_src=twsrc%5Etfw.
