Trezor hat bekannt gegeben, dass durch eine Datenpanne im Zusammenhang mit seinem Versanddienstleister ShipMonk zusätzlich 67.000 Kunden in den Vereinigten Staaten betroffen sind, wodurch sich die Zahl der exponierten Nutzer erheblich erhöht. Die neue Mitteilung verstärkt die Bedenken hinsichtlich des Schutzes von Kundendaten, die von Drittanbietern kryptowährungsbezogener Unternehmen verwaltet werden.

Der Hersteller von Hardware-Wallets, der vom tschechischen Unternehmen SatoshiLabs betrieben wird, teilte am 4. September mit, dass die neu identifizierten Datensätze zu US-Kunden gehören, die zwischen November 2019 und August 2021 Bestellungen aufgegeben hatten. Zu den offengelegten Informationen gehörten Kundennamen, E-Mail-Adressen, Telefonnummern, Lieferadressen und Bestellnummern.

Mit der aktuellen Mitteilung beläuft sich die Gesamtzahl der vom ShipMonk-Datenleck betroffenen Trezor-Kunden nun auf 80.689, davon mehr als 67.000 mit Sitz in den Vereinigten Staaten.

Der Vorfall wurde erstmals am 13. August bekannt, als Trezor mitteilte, dass ShipMonk, ein Drittanbieter für Auftragsabwicklung, das Unternehmen über unbefugten Zugriff auf Systeme mit Kundendaten informiert hatte. Zum damaligen Zeitpunkt wurde berichtet, dass die Panne Kunden in den Vereinigten Staaten, dem Vereinigten Königreich, Schweden, Kolumbien, Brasilien, Italien und Portugal betraf, deren Bestellungen innerhalb der 90 Tage vor dem 8. August abgewickelt worden waren.

Erste Mitteilung betraf knapp 14.000 Kunden

Trezors erste Mitteilung identifizierte 11.742 Kunden, deren Namen, E-Mail-Adressen, Telefonnummern und Lieferadressen offengelegt worden waren. Weitere 1.947 Kunden wiesen teilweise offengelegte Informationen auf, darunter Namen, Städte und E-Mail-Adressen.

Die neu offengelegten Datensätze erhöhen das Ausmaß des Vorfalls erheblich. Anders als die bei der ursprünglichen Untersuchung identifizierten Kunden hatten die zusätzlichen US-Nutzer ihre Bestellungen über einen wesentlich längeren Zeitraum aufgegeben, und zwar für Transaktionen zwischen November 2019 und August 2021.

Trezor erklärte, alle als betroffen identifizierten Kunden kontaktiert zu haben. Das Unternehmen führte aus, dass Kunden, die keine Benachrichtigungs-E-Mail erhalten hätten, nicht zur neu identifizierten Gruppe zählen sollten.

Das Unternehmen betonte zudem, dass durch die Panne weder seine Hardware-Wallets noch seine internen Systeme kompromittiert wurden. Laut Trezor bleiben die Kundengeräte sicher, trotz der Offenlegung personenbezogener Daten über den externen Versanddienstleister. Hardware-Wallets wie die von Trezor speichern die privaten Schlüssel der Nutzer offline, weshalb ein Datenleck bei Bestelldaten allein Angreifern keinen Zugriff auf Vermögenswerte verschafft.

Nutzer vor Folgeangriffen gewarnt

Obwohl das Unternehmen erklärte, dass die Hardware-Geräte und seine eigenen Systeme nicht kompromittiert wurden, könnte die Offenlegung von Namen, Kontaktinformationen und Lieferadressen zusätzliche Sicherheitsrisiken für betroffene Kunden schaffen.

Trezor rief die Nutzer auf, bei Mitteilungen, die angeblich vom Unternehmen oder anderen vertrauenswürdigen Diensten stammen, wachsam zu bleiben. Mögliche Bedrohungen umfassen betrügerische E-Mails, Anrufe und physische Briefe, die darauf abzielen, die durch die Panne erlangten Informationen auszunutzen. Die Verfügbarkeit von Lieferadressen schafft zudem Bedenken über digitalen Betrug hinaus, insbesondere für Nutzer, die Krypto-Hardware besitzen könnten, mit der Zugriff auf wertvolle digitale Vermögenswerte möglich ist.

Two days ago, we received an update from our shipping provider, ShipMonk. We're deeply saddened to share the news that the recent data breach affects more customers than originally thought. Another 67,000 customers from the US who ordered between November 2019 and August 2021…

— Trezor (@Trezor) September 4, 2026

Trezor hat betroffene Kunden gewarnt, nach der Offenlegung ihrer personenbezogenen Daten wachsam gegenüber Phishing-Versuchen, Identitätsbetrug und möglichen Bedrohungen der physischen Sicherheit zu bleiben. Diese Sorge ist durch Präzedenzfälle gut begründet: Im Jahr 2020 erlitt der Konkurrent Ledger eine Panne seiner E-Commerce-Datenbank, bei der rund eine Million Kunden-E-Mail-Adressen offengelegt wurden und die später eine Welle von Phishing-Angriffen auf Kunden auslöste – ein Beleg dafür, wie geleakte Bestelldaten noch lange nach dem ursprünglichen Vorfall missbraucht werden können.

Angaben zur Datenlöschung im Fokus

Die Panne hat auch Fragen aufgeworfen, wie ShipMonk mit Kundendaten umgegangen ist, nachdem Trezor deren Löschung gefordert hatte. Trezor erklärte, wiederholt eine schriftliche Zusicherung des Versanddienstleisters eingeholt zu haben, dass die betreffenden Kundendaten gelöscht würden.

Allerdings blieben die Daten laut dem Unternehmen trotz dieser Zusicherungen in den Systemen von ShipMonk. Diese Entwicklung hat dem Vorfall eine weitere Dimension hinzugefügt und die Aufmerksamkeit auf Praktiken der Datenaufbewahrung sowie auf die Sicherheitsvorkehrungen von Drittanbietern gelenkt.

Der Vorfall verdeutlicht eine breitere Herausforderung für Hersteller von Hardware-Wallets, die möglicherweise eine Balance zwischen Produktsicherheit und dem Schutz von Kundendaten finden müssen, die bei Käufen und Lieferungen erhoben werden. Wenngleich über eine Kompromittierung der Wallet-Geräte selbst nicht berichtet wurde, können offengelegte personenbezogene Daten Angreifern Informationen liefern, die für gezielte Social-Engineering-Kampagnen genutzt werden könnten. Zudem wirft der Fall Fragen auf, die Kunden Krypto-Unternehmen und deren Dienstleistern künftig vermehrt stellen dürften: Wie lange werden Bestelldaten aufbewahrt, wer hat Zugriff darauf, und ob Löschungsanforderungen tatsächlich überprüft und nicht nur aufgrund schriftlicher Zusicherungen akzeptiert werden.

Da die Untersuchung andauert, werden betroffene Kunden voraussichtlich mit vermehrten Betrugs- und Identitätsverschierungsversuchen konfrontiert. Das sich ausweitende Datenleck unterstreicht die Sicherheitsrisiken, die mit Kundendaten verbunden sind, die außerhalb der eigenen Infrastruktur eines Kryptowährungsunternehmens gespeichert werden – selbst dann, wenn die zugrunde liegenden Hardware-Wallet-Systeme nicht kompromittiert sind.