Trezor hat den Umfang des ShipMonk-Datenlecks ausgeweitet, nachdem entdeckt wurde, dass persönliche Informationen von etwa 67.000 weiteren US-Kunden offengelegt wurden – mit betroffenen Bestellungen, die bis ins Jahr 2019 zurückreichen.

Die neu identifizierten Kunden kauften zwischen November 2019 und August 2021 Trezor-Geräte. Zu den offengelegten Daten gehören Namen, E-Mail-Adressen, Telefonnummern, Lieferadressen und Bestellnummern – eine erhebliche Ausweitung eines Vorfalls, von dem zunächst angenommen wurde, dass er weitgehend auf recente Käufe beschränkt sei.

Die Ausweitung verdeutlicht ein breiteres Muster bei sicherheitsrelevanten Vorfällen im Kryptobereich: Hardware-Wallets selbst werden selten kompromittiert, doch das umgebende Ökosystem aus Versand, Marketing und Drittanbietern ist wiederholt zur Schwachstelle geworden, an der Kundendaten leaken. Da die Sicherheit von Hardware-Wallets darauf beruht, dass private Schlüssel und Recovery-Phrasen offline bleiben, zielen Angreifer stattdessen häufig auf die menschliche Ebene und nutzen geleakte personenbezogene Daten, um Gerätebesitzer direkt zu erreichen.

ShipMonk bewahrte Daten auf, die Trezor als gelöscht erwartete

Die Entdeckung steht in direktem Widerspruch zur Datenaufbewahrungsrichtlinie von Trezor für Kundendaten. Nach Unternehmensangaben hatte ShipMonk wiederholt schriftlich zugesichert, dass ältere Versandinformationen gemäß vertraglicher Anforderungen, der Datenrichtlinie von Trezor und früheren Absprachen zwischen beiden Unternehmen gelöscht wurden.

Der Hardware-Wallet-Hersteller hatte das ShipMonk-Datenleck am 13. August erstmals offengelegt, nachdem er erfahren hatte, dass unbefugte Dritte auf Kundendaten des Logistikdienstleisters zugegriffen hatten. Diese erste Untersuchung identifizierte 11.742 Kunden, deren Namen, E-Mail-Adressen, Telefonnummern und Lieferadressen offengelegt wurden, sowie weitere 1.947 Kunden mit teilweiser Exposition.

Zum Zeitpunkt der ersten Offenlegung wurde erwartet, dass eine 90-tägige Löschfrist das Datenleck auf recente Bestellungen begrenzen würde. Die neu entdeckten Aufzeichnungen aus den Jahren 2019–2021 zeigen jedoch, dass deutlich ältere Kundeninformationen trotz dieser Anforderungen in den Systemen von ShipMonk verblieben waren.

Die Lücke zwischen vertraglichen Löschzusagen und tatsächlicher Datenaufbewahrung ist ein wiederkehrendes Problem im Anbieter-Risikomanagement: Unternehmen, die Fulfillment auslagern, verlassen sich in der Regel auf Zusicherungen der Lieferanten – und diese Zusicherungen werden erst dann auf die Probe gestellt, wenn ein Vorfall aufdeckt, welche Daten tatsächlich in der Infrastruktur des Anbieters fortbestehen.

Trezor betonte, dass seine Systeme, Firmware, privaten Schlüssel und Wallet-Backups nicht kompromittiert wurden. Die Exposition erfolgte innerhalb der Fulfillment-Infrastruktur von ShipMonk und nicht in den Hardware-Wallets selbst.

Versanddaten schaffen Risiko gezielter Phishing-Angriffe

Namen, Telefonnummern und physische Lieferadressen können Angreifern ausreichend Informationen liefern, um hochgradig personalisierte Phishing-Versuche gezielt gegen bekannte Hardware-Wallet-Besitzer zu richten. Das Wissen, dass ein Haushalt vor Jahren eine Hardware-Wallet erhalten hat, ist wertvolle Zielinformation, da eine glaubwürdig wirkende Nachricht über einen „Geräte-Rückruf“ oder eine „Backup-Verifikation“ auf eine echte Bestellhistorie verweisen kann.

Opfer können betrügerische E-Mails, Anrufe oder physische Briefe erhalten, die sich als Trezor, Kryptobörsen, Banken oder Lieferunternehmen ausgeben. Trezor weist Kunden an, unter keinen Umständen ein Wallet-Backup preiszugeben oder einzugeben – und zwar als Reaktion auf jede Kommunikation, die behauptet, dass ein Gerät, ein Konto oder eine Recovery-Phrase dringend verifiziert werden müsse. Trezor hat stets betont, dass es Kunden niemals nach ihrer Recovery-Seed fragen wird – eine Regel, die für jede unaufgeforderte Kontaktaufnahme gilt.

Das Unternehmen hat bereits früher mit Risiken der Datenexposition durch Drittanbieter zu tun gehabt. Ein separater Vorfall auf Trezor.io im Dezember 2025 betraf verdächtige Aktivitäten im Zusammenhang mit einem externen Dienst, wobei in diesem Fall keine Datenbanken, Geräte oder Wallet-Software kompromittiert wurden.

Pläne für anonyme Lieferung gewinnen an Dringlichkeit

Trezor entwickelt eine anonyme Lieferoption („Anonymous Delivery“), die die Menge an personenbezogenen Daten reduzieren soll, die mit dem Kauf von Hardware-Wallets verknüpft ist. Geplante Funktionen umfassen die Abholung an Paketstationen, neutrale Verpackung, generische Absenderangaben und die automatische Löschung von Versandkennungen nach der Zustellung.

Der Dienst war für eine Verfügbarkeit in Europa etwa im September 2026 vorgesehen, mit einem US-Rollout vor Jahresende. Das neu offengelegte Versäumnis bei der Datenlöschung erhöht den Druck auf diesen Zeitplan, da der Vorfall konkret zeigt, wie lange Kundendaten über das erklärte Löschfenster eines Anbieters hinaus bestehen bleiben können.

Die neu entdeckten historischen Aufzeichnungen erhöhen den bekannten Umfang des ShipMonk-Datenlecks deutlich über die ursprünglich 13.689 betroffenen Kunden hinaus: Rund 67.000 weitere US-Käufer aus dem Zeitraum November 2019 bis August 2021 werden nun benachrichtigt.

Quelle: Crypto Adventure