Trezor hat am Donnerstag offengelegt, dass bei fast 14.000 Kunden personenbezogene Daten kompromittiert wurden, nachdem ShipMonk, der Fulfillment-Partner des Hardware-Wallet-Herstellers, einen unbefugten Zugriff auf seine Systeme hinnehmen musste. Vom Leck betroffen sind 11.742 Kunden, deren Namen, E-Mail-Adressen, Telefonnummern und Lieferadressen kompromittiert wurden, sowie weitere 1.947, deren Namen, Städte und E-Mails offengelegt wurden, in den USA, Großbritannien, Schweden, Kolumbien, Brasilien, Italien und Portugal.
Trezor betonte, dass die eigene Infrastruktur und die geräteseitige Kryptografie nicht kompromittiert wurden und keine Gelder durch das Leck selbst gefährdet sind. Das Risiko ist nachgelagert: Telefonnummern und Privatadressen sind genau das, was Phishing-Banden, Mail-Erpresserringe und Angreifer mit physischer Nötigung brauchen, um von digitalem Spam zu gefälschten Gerätezustellungen und persönlichem Druck zu eskalieren.
Warum es wichtig ist
Es ist das erste Datenleck in der 13-jährigen Geschichte von Trezor, bei dem Telefonnummern und Lieferadressen von Kunden offengelegt wurden. Frühere Vorfälle, ein Breach im Drittanbieter-Support-Portal im Januar 2024 mit 66.000 Betroffenen und ein Leak von 106.856 Kunden im April 2022, endeten bei E-Mail-Adressen. Eine physische Adresse plus eine Telefonnummer im Datensatz machen diesen drastisch gefährlicher, und der Breach erfolgt vor dem Hintergrund eines Anstiegs globaler Datenlecks um 17 Prozent im Jahresvergleich, so das Cybersicherheitsunternehmen SentinelOne.
Marktauswirkungen
Trezor erklärte, es lägen noch keine bestätigten Fälle vor, in denen die Daten veröffentlicht, geteilt oder zum Verkauf angeboten wurden, und dass Amazon-Kunden nicht betroffen seien, da Bestellungen dort über einen separaten Partner abgewickelt werden. Der konkurrierende Hardware-Wallet-Hersteller Ledger hat genau dieses Muster bereits durchlebt: Ein Breach aus dem Jahr 2020 mit fast 300.000 Betroffenen führte ein Jahr später zu einer Folgekampagne, bei der Betrüger gefälschte Ledger-Geräte an Opfer verschickten. Branchenschätzungen beziffern die langfristigen Kosten für Schadensbegrenzung, Rechtsstreitigkeiten und Markenimage durch ein großes Kundenleck auf über 33 Millionen Dollar, zusätzlich zu einem separaten Trend, den Certik auf 124 Millionen Dollar Verluste durch persönliche Nötigung im ersten Halbjahr datiert. Für betroffene Kunden gilt es, in den kommenden Monaten Direktwerbesendungen, telefonbasierte Identitätsvortäuschung und häusliche Erpressungsversuche im Auge zu behalten.
Häufig gestellte Fragen
-
Welche Daten wurden beim Trezor-Breach über ShipMonk offengelegt?
Namen, E-Mail-Adressen, Telefonnummern und Lieferadressen für 11.742 Kunden, plus Namen, Städte und E-Mails für weitere 1.947 Kunden, in den USA, Großbritannien, Schweden, Kolumbien, Brasilien, Italien und Portugal.
-
Waren Trezor-Wallets oder Kundengelder vom Breach betroffen?
Nein. Trezor erklärte, die eigenen Systeme seien nicht kompromittiert worden und die geräteseitige Kryptografie bleibe intakt. Das Risiko ist indirekt, da geleakte Kontaktdaten genutzt werden können, um Kunden mit Phishing, gefälschter Gerätepost oder Erpressungsversuchen nach Hause ins Visier zu nehmen.
-
Wie vergleicht sich dieser Trezor-Breach mit früheren Leaks?
Es ist der erste in der 13-jährigen Geschichte von Trezor, der Telefonnummern und Lieferadressen offenlegt. Frühere Vorfälle im Januar 2024 (66.000 Betroffene über ein Support-Portal) und im April 2022 (106.856 Kunden) endeten bei E-Mail-Adressen.
-
Wie vergleicht sich dies mit den Ledger-Datenlecks?
Der konkurrierende Hardware-Wallet-Hersteller Ledger erlitt einen Breach im Jahr 2020 mit fast 300.000 Betroffenen, der ein Jahr später zu einer Folgekampagne führte, bei der Betrüger gefälschte Ledger-Geräte an Opfer verschickten, sowie einen Januar-Breach über den Partner Global-e.
-
Worauf sollten betroffene Trezor-Kunden jetzt achten?
Trezor erklärte, es seien noch keine bestätigten Fälle aufgetaucht, in denen die Daten veröffentlicht, geteilt oder verkauft wurden, aber Kunden sollten in den kommenden Monaten auf Direktwerbesendungen, telefonbasierte Identitätsvortäuschung und häusliche Erpressungsversuche achten.
CryptoSlate
TheBlock
CoinTelegraph
WuBlockchain
Crypto News