Der Hardware-Kryptowährungs-Wallet-Hersteller Trezor warnte am Donnerstag vor einem erhöhten Phishing-Risiko nach einem Datenverstoß bei seinem Drittanbieter-Logistikdienstleister ShipMonk, der die persönlichen Daten von 13.689 Kunden offengelegt hat. Die kompromittierten Daten umfassen Namen, Adressen, Telefonnummern und E-Mail-Adressen.

Das Unternehmen erklärte, dass es keine Hinweise darauf gebe, dass Wallet-Backups, Kryptowährungsbestände oder die internen Systeme von Trezor kompromittiert wurden. Trezor wies jedoch darauf hin, dass die geleakten Kundendaten genutzt werden könnten, um überzeugendere Phishing-Betrügereien gegen betroffene Personen zu entwickeln.

Einzelheiten des Datenverstoßes

ShipMonk informierte Trezor am 10. August 2026, dass ein unbefugter Akteur auf Systeme mit Kundendaten zugegriffen hatte. ShipMonk, ein in den USA ansässiger E-Commerce-Erfüllungsanbieter, übernimmt Logistikdienstleistungen für Trezor, darunter Produktlagerung und Versand in mehreren Märkten.

Von den 13.689 betroffenen Kunden wurden bei 11.742 volle Namen, E-Mail-Adressen, Telefonnummern und Lieferadressen offengelegt. Die verbleibenden 1.947 Kunden hatten teilweise Informationen kompromittiert, darunter Namen, Städtenamen und E-Mail-Adressen. Trezor arbeitet weiterhin mit ShipMonk zusammen, um das genaue Offenlegungsfenster für diese 1.947 Kunden zu ermitteln.

Die betroffenen Datensätze betrafen hauptsächlich Neukundenbestellungen, die zwischen dem 10. Mai und dem 8. August 2026 aufgegeben und in die Vereinigten Staaten, das Vereinigte Königreich, Schweden, Kolumbien, Brasilien, Italien und Portugal versendet wurden.

Trezor teilte die Nachricht öffentlich über sein offizielles X-Konto mit:

We have some difficult news to share. Unfortunately, one of our shipping providers has experienced a data breach that exposed sensitive order data. This affects new customers in the US, UK, Sweden, Colombia, Brazil, Italy, and Portugal who received an order within the 90 days…

— Trezor (@Trezor) August 13, 2026

https://x.com/Trezor/status/2087885428313543059

Datenaufbewahrung und Kundenbenachrichtigung

Trezor erklärte, dass seine 90-tägige Datenaufbewahrungsrichtlinie mit Logistikpartnern dazu beigetragen habe, den Umfang des Vorfalls zu begrenzen, da ältere Bestellinformationen bereits gelöscht oder anonymisiert worden waren.

Betroffene Kunden wurden einzeln per E-Mail von help@trezor.io informiert. Kunden, die keine Benachrichtigung erhalten haben, sind laut dem Unternehmen nicht betroffen.

Keine Kompromittierung von Trezor-Systemen oder Wallets

Trezor bestätigte, dass es keine Anzeichen dafür gibt, dass seine internen Systeme, Hardware-Wallets oder Wallet-Backups kompromittiert wurden. Das Unternehmen wiederholte, dass Kunden ihr Wallet-Backup niemals online eingeben oder mit niemandem teilen sollten.

Das Hauptrisiko aus dem Datenverstoß ergibt sich aus den offengelegten persönlichen Informationen, die verwendet werden könnten, um Trezor zu imitieren oder überzeugendere betrügerische Kommunikation zu erstellen.

Phishing-Risiko durch offengelegte Daten

Namen, Telefonnummern, E-Mail-Adressen und Versanddetails können Angreifern kontextuelle Informationen für gezielte Phishing-Kampagnen liefern. Eine Nachricht, die den Namen eines Kunden, einen kürzlichen Trezor-Kauf oder Lieferdetails erwähnt, kann glaubwürdiger erscheinen als ein generischer Betrug.

Angreifer könnten anschließend versuchen, Opfer dazu zu verleiten, vertrauliche Informationen preiszugeben, auf bösartige Links zu klicken oder ihr Wallet-Backup zu offenbaren. Trezor-Nutzern wird geraten, besonders vorsichtig bei unaufgeforderten Nachrichten zu sein, die angeblich Wallet-Sicherheit, Kontoprobleme, Rückerstattungen, Lieferungen oder andere dringende Angelegenheiten betreffen.

Trezors Reaktion und geplante Maßnahmen

Trezor bezeichnete den Vorfall als den ersten Datenverstoß seit seiner Gründung im Jahr 2013, bei dem Kundentelefonnummern und Lieferadressen offengelegt wurden, und das Unternehmen entschuldigte sich bei den betroffenen Nutzern.

Das Unternehmen plant die Einführung einer anonymen Lieferoption mit dediziertem Checkout, Abholung an Paketautomaten, neutraler Verpackung und automatischer Löschung von Versandkennungen. Trezor beabsichtigt, den Dienst bis September 2026 in der EU und bis Ende 2026 in den USA einzuführen.

Geschichte von Vorfällen bei Drittanbietern

Der ShipMonk-Datenverstoß folgt auf frühere Sicherheitsvorfälle im Zusammenhang mit den Drittanbietern von Trezor. Im Januar 2024 potenziell exposed der unbefugte Zugriff auf das Drittanbieter-Supportportal von Trezor die Namen und E-Mail-Adressen von etwa 66.000 Nutzern. Ein separater Mailchimp-Datenverstoß im Jahr 2022 betraf ebenfalls Trezor-Kunden und wurde von Phishing-Kampagnen begleitet, die auf Kryptowährungs-Nutzer abzielten.

Auch andere Hardware-Wallet-Hersteller haben ähnliche Vorfälle erlebt. Ledger erlitt im Jahr 2020 einen schwerwiegenden Datenverstoß, der mehr als 1 Million E-Mail-Adressen und Hunderttausende Kundendatensätze offengelegte, von denen einige anschließend in Kryptowährungs-Betrügereien verwendet wurden.

Weiterreichende Sicherheitsimplikationen

Diese Vorfälle verdeutlichen eine übergreifende Sicherheitsherausforderung für Hardware-Wallet-Nutzer: Angreifer benötigen nicht zwingend Zugang zu einem Wallet oder dessen kryptografischen Schlüsseln, um dessen Eigentümer ins Visier zu nehmen. Personenbezogene Daten, die durch einen Drittanbieter-Verstoß erlangt wurden, können ausreichen, um einen Betrug glaubwürdig erscheinen zu lassen. Das wiederkehrende Muster von Datenoffenlegungen auf Anbieterseite in der Hardware-Wallet-Branche unterstreicht zudem, dass Self-Custody-Lösungen, obwohl sie private Schlüssel schützen, dennoch von physischen Lieferketten und Dienstleistern abhängen, die Datenangriffsflächen jenseits des Wallets selbst schaffen. Betroffene Kunden in EU-Mitgliedstaaten und anderen Rechtsgebieten mit Datenschutzvorschriften können zusätzliche Rechte hinsichtlich ihrer offengelegten personenbezogenen Daten haben.