Trezor hat Kunden über eine Datenverletzung bei ShipMonk informiert, einem Drittanbieter für Logistikdienstleistungen, der die Auftragsabwicklung für bestimmte Trezor-Bestellungen übernimmt. Obwohl keine Kryptowährungs-Wallets, privaten Schlüssel oder internen Trezor-Systeme kompromittiert wurden, könnten die offengelegten persönlichen Informationen eine überzeugendere Phishing-Kampagne gegen betroffene Nutzer ermöglichen.

Details zur ShipMonk-Datenverletzung

Am 10. August informierte ShipMonk Trezor darüber, dass ein unbefugter Dritter auf Systeme mit Kundenbestelldaten zugegriffen hatte. Trezor erklärte, dass die Untersuchungen andauern.

Nach Schätzungen von Trezor wurden bei 11.742 Kunden Namen, E-Mail-Adressen, Telefonnummern und Versandadressen offengelegt. Weitere 1.947 Kunden könnten davon betroffen sein, dass ihre Namen, Standortinformationen auf Stadtebene und E-Mail-Adressen abgerufen wurden.

Die betroffenen Bestellungen betreffen zunächst Kunden in den Vereinigten Staaten, dem Vereinigten Königreich, Schweden, Kolumbien, Brasilien, Italien und Portugal, die im entsprechenden Zeitraum Bestellungen erhielten.

Trezor wendet eine 90-tägige Datenaufbewahrungsrichtlinie an, was bedeutet, dass ShipMonk nur für einen Zeitraum von 90 Tagen Zugriff auf historische Daten gehabt haben sollte. Das Unternehmen hat jedoch gewarnt, dass einige der 1.947 teilweise offengelegten Datensätze ältere Bestellungen umfassen könnten – ein Detail, das noch mit dem Logistikdienstleister abgeklärt wird.

Kunden, die eine offizielle E-Mail-Benachrichtigung von help@trezor.io erhalten haben, sollten davon ausgehen, dass ihre Informationen offengelegt wurden. Trezor erklärte, dass Personen, die keine solche E-Mail erhalten haben, nicht betroffen sind.

Wallet-Sicherheit gewährleistet

Die Datenverletzung hatte keine Auswirkungen auf die internen Systeme, Hardware-Geräte oder Wallet-Backups von Trezor. Es wurden keine privaten Schlüssel oder Recovery-Seeds abgerufen.

Haupt risiko: Gezieltes Phishing

Die gestohlenen persönlichen Daten könnten es Kriminellen ermöglichen, überzeugende Betrugsmaschen zu entwickeln. Der echte Name, die Telefonnummer oder die Lieferadresse eines Opfers könnten genutzt werden, um Trezor, eine Kryptowährungsbörse, eine Bank oder eine andere vertrauenswürdige Einrichtung zu imitieren. Angreifer könnten E-Mails, Anrufe oder sogar physische Post verwenden, um Nutzer zur Preisgabe sensibler Informationen zu drängen.

Das Risiko wird durch die Art der offengelegten Liste verstärkt: Kunden, die ein Hardware-Wallet gekauft haben, haben sich damit faktisch als Kryptowährungsbesitzer identifiziert, was sie zu überproportional attraktiven Zielen für Social-Engineering-Kampagnen macht. Dieses Muster wurde in der Hardware-Wallet-Branche bereits beobachtet – eine Datenverletzung bei Ledger im Jahr 2020 legte die persönlichen Daten von über 270.000 Kunden offen und war von anhaltenden Phishing-Angriffen und Erpressungsversuchen gefolgt, die noch Jahre danach andauerten.

Trezor rät potenziell betroffenen Kunden, besonders vorsichtig bei Nachrichten zu sein, die Dringlichkeit erzeugen oder persönliche Details anfordern. Vor allem sollten Nutzer ihr Wallet-Backup oder ihren Recovery-Seed niemals auf einer Website eingeben. Trezor betonte, dass der legitime Kundensupport Nutzer niemals auffordern wird, ihr Wallet-Backup preiszugeben.

Datenschutzmaßnahmen für zukünftige Bestellungen

Als Reaktion auf den Vorfall weist Trezor auf Maßnahmen hin, die Kunden ergreifen können, um die Exposition persönlicher Informationen beim Kauf von Hardware-Wallets zu reduzieren. Das Unternehmen empfiehlt, eine E-Mail-Adresse zu verwenden, die nicht mit einem echten Namen verknüpft ist, gegebenenfalls mit Kryptowährung zu bezahlen und ein Postfach für die Lieferung zu nutzen.

Darüber hinaus entwickelt Trezor eine Funktion für anonyme Lieferungen, die die Exposition von Versanddetails minimieren soll. Die geplante Funktion umfasst Optionen wie Abholung an Packstationen, neutrale Verpackung, generische Absenderinformationen und automatische Löschung von Versandkennungen nach der Zustellung. Falls umgesetzt, könnten solche Maßnahmen einen neuen operativen Datenschutzstandard bei Hardware-Wallet-Anbietern setzen, von denen viele noch auf herkömmliche E-Commerce-Fulfillment-Ketten angewiesen sind, die identifizierbare Kundendatensätze speichern.

Quelle: Offizielle Erklärung von Trezor