Trezor erklärte, dass Hacker in den E-Mail-Anbieter eines Drittanbieters eingedrungen seien und den Dienst genutzt hätten, um Phishing-E-Mails zu versenden, die als kritische Sicherheitswarnung getarnt waren. Die betrügerische Warnung behauptete fälschlicherweise, ein Hardwarefehler habe die Wiederherstellungsphrasen bestimmter Trezor-Geräte geschwächt.

Das Unternehmen warnte die Nutzer am Mittwoch, dass eine E-Mail mit dem Titel „Critical Security Alert: STM32 Entropy Vulnerability“ nicht von Trezor stamme. „Please be aware that the email named ‘Critical Security Alert: STM32 Entropy Vulnerability’ is not coming from us, and it’s a phishing attempt. Do not click on any link“, Trezor schrieb auf X.

Trezor erklärte, die für den Angriff verwendete Domain abgeschaltet zu haben, und untersuche, wie die Hacker Zugriff auf die legitime Domain des Unternehmens erlangten. In der E-Mail wurde fälschlicherweise behauptet, Trezors Ingenieure hätten eine „critical hardware-level vulnerability“ in den in den Geräten des Unternehmens verwendeten STM32-Mikrocontrollern entdeckt. Weiter hieß es, der Fehler betreffe schätzungsweise eines von vier Geräten und könne dazu führen, dass Wiederherstellungsphrasen nicht ausreichend zufällig seien – also zu wenig Entropie aufwiesen.

Die Behauptung schien darauf abzuzielen, die Sorgen im Zusammenhang mit einem kürzlich erfolgten Coldcard-Exploit auszunutzen, der Nutzer mehr als $130 Millionen in Bitcoin kostete. Trezor bezeichnete die E-Mail in einer Stellungnahme als betrügerisch und warnte die Nutzer kurz nach 4:30 p.m. Easter Time – mehrere Stunden nachdem verschiedene Nutzer gemeldet hatten, die Phishing-Nachricht von einer scheinbar legitimen Trezor-E-Mail-Adresse erhalten zu haben.

Nick Neuman, Mitgründer und CEO von Casa, erklärte, die Kampagne könnte über Trezor hinausgehen, und ergänzte, dass er auch von ähnlichen Berichten von BitBox-Nutzern gehört habe. „It’s likely that a marketing email provider was compromised“, sagte Neuman auf X. „Stay frosty and don't trust provider emails that try to get you to take actions via sketchy looking links.“

Ein Nutzer, Marcello Paz, veröffentlichte am 9. September 2026 auf X Details zu der Nachricht. Seinen Angaben zufolge zeigte Gmail den Absender als Trezor Security \u003chelp@trezor.io\u003e an, mit dem Return-Path noreply@mailing.trezor.io. Außerdem habe die Nachricht eine Sendinblue-Kampagne ausgewiesen und für bestandene DKIM-, SPF- und DMARC-Prüfungen angezeigt. Sein Beitrag enthielt den Tracking-Link der Kampagne sowie die URL Marcello Paz auf X.

Die gemeldeten Absenderdaten und Authentifizierungsprüfungen konnten die Nachricht für Empfänger legitim erscheinen lassen, machten ihre Sicherheitsbehauptung jedoch nicht wahr. Nutzer sollten Warnungen über die offiziellen Kanäle eines Unternehmens überprüfen, statt sich auf Links in einer E-Mail zu verlassen.

Der Bitcoin-Sicherheitsforscher und Chief Security Officer von Casa, Jameson Lopp, sprach eine ähnliche Warnung aus. „Threat actors may have compromised the email provider(s) used by Trezor and BitBox“, schrieb er auf X. „Malicious emails claiming both have bad RNGs that require security updates are being sent, and the emails don't appear to be spoofed. No such security advisory has been issued!“

Im August warnten Trezor und der ebenfalls im Bereich Krypto-Hardware-Wallets tätige Hersteller Foundation Nutzer vor Phishing-Versuchen, die Ängste um die Sicherheit von Hardware-Wallets ausnutzten, nachdem Forscher Schwachstellen bei Coldcard-Geräten offengelegt hatten.

Im selben Monat berichtete Trezor, dass ein Sicherheitsvorfall beim Versanddienstleister ShipMonk Daten von 80.689 Menschen offengelegt habe, darunter Namen, E-Mail-Adressen, Telefonnummern und Versandadressen. Das Unternehmen warnte, dass die durchgesickerten Informationen für ausgefeiltere Phishing-Angriffe genutzt werden könnten. Trezors Bericht ist in der offiziellen Mitteilung verfügbar.