Trezor und BitBox, zwei der größten Hersteller von Hardware-Wallets für private Bitcoin-Halter, haben am 9. September parallel vor Phishing-E-Mails gewarnt, die ihre Marken imitieren. Die Nachrichten trugen den technischen Betreff „Critical Security Alert: STM32 Entropy Vulnerability" und forderten die Empfänger auf, Links und Anweisungen zu folgen, die laut beiden Firmen nie von ihnen versendet wurden. Trezor bestätigte am 10. September, dass ein externer E-Mail-Anbieter kompromittiert worden war, nahm die Phishing-Domain vom Netz und bekräftigte, dass die Wallets selbst sicher bleiben.
Warum es zählt
Hardware-Wallet-Phishing hat sich beschleunigt, parallel zum Wert, der in Self-Custody gebunden ist, und die Angriffsfläche reicht inzwischen weit über die Firmware hinaus. BitBox erklärte, die vorläufige Prüfung habe ergeben, dass der eigene Newsletter-Anbieter „sehr wahrscheinlich" kompromittiert sei und andere Bitcoin-Unternehmen offenbar denselben Anbieter nutzten, was den Wirkungsradius in der Branche vergrößere. Tresors bestehende Empfehlung bleibt die operative Verteidigungslinie: Wer ein Wallet-Backup erhält, auch Recovery-Seed genannt, kann die Mittel bewegen, weshalb das Befolgen von Anweisungen aus einer unaufgeforderten E-Mail der einzige Weg ist, wie ein Nutzer angreifbar wird. Die technisch klingende Betreffzeile borgte sich die Glaubwürdigkeit einer echten Schwachstellenmeldung, um die Wachsamkeit der Empfänger zu senken.
Auswirkungen auf den Markt
Die meisten Phishing-Links waren zum Zeitpunkt des Updates von BitBox bereits vom Netz genommen. BitBox hat alle Newsletter-Abonnenten gewarnt, den kompromittierten Anbieter kontaktiert und die Phishing-Domains gemeldet. Trezor rät Nutzern, Trezor Suite nur von der offiziellen Website herunterzuladen und jede Warnung über offizielle Kanäle zu verifizieren, statt über Links in der verdächtigen Nachricht. Der Vorfall fällt in dasselbe Quartal wie der SafePal-Hack, der rund 40.000 Kunden betraf, was darauf hindeutet, dass das Lieferkettenrisiko für Hardware-Wallet-Hersteller nun ebenso über die E-Mail-Listen-Infrastruktur läuft wie über die Silizium-Chips.
Häufig gestellte Fragen
-
Was behaupteten die Phishing-E-Mails genau?
Sie trugen den Betreff „Critical Security Alert: STM32 Entropy Vulnerability" und forderten die Empfänger auf, Links und Anweisungen zu folgen, die laut Trezor und BitBox nie von ihnen versendet wurden.
-
Wurden die Hardware-Wallets selbst gehackt?
Nein. Trezor bestätigte am 10. September, dass die Wallets sicher bleiben. Die Datenpanne geschah bei einem externen E-Mail-Anbieter, nicht in der Wallet-Firmware.
-
Was sollten Empfänger der E-Mail als Nächstes tun?
Ignorieren Sie die Anweisungen, klicken Sie keine Links an und verifizieren Sie jede Warnung über die offiziellen Kanäle von Trezor und BitBox statt über die verdächtige Nachricht.
-
Warum sind Recovery-Seeds das zentrale Risiko?
Wer ein Wallet-Backup erhält, auch Recovery-Seed genannt, kann die Mittel bewegen. Das Befolgen von Anweisungen aus einer unaufgeforderten E-Mail ist der einzige Weg, wie ein Nutzer angreifbar wird.
-
War auch andere Bitcoin-Unternehmen betroffen?
BitBox erklärte, die vorläufige Prüfung habe ergeben, dass der eigene Newsletter-Anbieter „sehr wahrscheinlich" kompromittiert sei und dass auch andere Bitcoin-Unternehmen mit demselben Anbieter ins Visier gerieten.
TheBlock
WuBlockchain
CoinDesk