Der August-Vorfall bei Trezor ist rund sechsmal größer als zunächst offengelegt. Der Hardware-Wallet-Hersteller erklärte am 4. September, dass weitere rund 67.000 US-Kunden Kontakt- und Bestelldaten über seinen Logistikpartner ShipMonk offengelegt bekamen. Die ursprüngliche Meldung vom 13. August zählte 11.742 Kunden mit vollständiger Offenlegung und 1.947 mit teilweiser Offenlegung. Zusammengenommen implizieren die beiden Gruppen rund 80.689 betroffene Personen, wobei Trezor keine kombinierte Gesamtzahl veröffentlicht oder bestätigt hat, ob sich die Kohorten überschneiden. Die neu offengelegten Datensätze betreffen US-Bestellungen von November 2019 bis August 2021 und enthalten Namen, E-Mail-Adressen, Telefonnummern, Lieferadressen und Bestellnummern. Damit liegen genau jene identifizierenden Details vor, die eine Person mit einem bestimmten Hardware-Wallet-Kauf verknüpfen.
Warum es wichtig ist
Trezor erklärte, die eigenen Systeme, Produkte und Geräte blieben sicher, und die offengelegten Felder sind Kontakt- und Bestelldaten und keine Recovery-Seeds, privaten Schlüssel oder Wallet-Gelder. Das Risiko liegt stattdessen beim Nutzer selbst. ShipMonk behielt historische Datensätze weit über Trezors 90-tägige Löschrichtlinie hinaus, obwohl wiederholt schriftlich versichert worden war, dass die Daten gelöscht seien. BleepingComputer berichtete, ShipMonk führe den zugrunde liegenden unautorisierten Zugriff auf eine Zero-Day-Schwachstelle in der Analyseplattform Metabase zurück, eine Schwachstelle, die eine Admin-gebundene Sitzung erzeugen und Massen-Downloads von Tabellen ermöglichen kann. Nachdem ShipMonk den Vorfall neu bewertet hatte, erweiterte die zurückgehaltene historische Daten den Kreis der offengelegten Trezor-Kunden. Das Vorkommnis zeigt, dass eine Löschrichtlinie auf Anbieterseite nur so stark ist wie die Überprüfung dahinter.
Auswirkungen auf den Markt
Der Datensatz kann überzeugende Phishing-E-Mails, betrügerische Anrufe und Briefe sowie potenzielle physische Zielverfolgung ermöglichen. Diese Angriffsvektoren verschärfen sich vor dem Hintergrund gewaltsamer Krypto-Hauseinbrüche, die in der Branche bereits dokumentiert sind. Trezor warnte in seinem Update vom 4. September vor diesen Folgen, nannte jedoch keinen bestätigten nachgelagerten Angriff im Zusammenhang mit dem Datensatz. Die Konsequenzen bleiben daher Risiken und keine dokumentierten Ergebnisse.
Häufig gestellte Fragen
-
Wie viele Trezor-Kunden sind insgesamt betroffen?
Trezors ursprüngliche August-Meldung umfasste 13.689 Kunden (11.742 vollständig und 1.947 teilweise offengelegt), und das Update vom 4. September fügte rund weitere 67.000 US-Kunden hinzu, was insgesamt rund 80.689 impliziert, wobei Trezor keine einzige kombinierte Zahl veröffentlicht hat.
-
Welche Daten wurden beim Trezor-Vorfall offengelegt?
Die offengelegten Datensätze enthalten Namen, E-Mail-Adressen, Telefonnummern, Lieferadressen und Bestellnummern für US-Bestellungen von November 2019 bis August 2021. Recovery-Seeds, private Schlüssel und Wallet-Gelder waren nicht betroffen.
-
Wurden die Trezor-Wallet-Geräte selbst kompromittiert?
Nein. Trezor erklärte, die eigenen Systeme, Produkte und Dienste seien nicht kompromittiert worden und die Geräte blieben sicher. Die Offenlegung liegt in den Versandprotokollen auf der Abwicklungsseite, nicht im Wallet-Material auf den Geräten.
-
Wie konnten die vermeintlich gelöschten Versandprotokolle wieder auftauchen?
Der Logistikpartner ShipMonk behielt historische Datensätze weit über Trezors 90-tägige Löschrichtlinie hinaus, obwohl schriftlich versichert worden war, sie seien gelöscht. BleepingComputer berichtete, ShipMonk habe den zugrunde liegenden Zugriff auf einen Zero-Day in der Analyseplattform Metabase zurückgeführt.
-
Welche Risiken drohen betroffenen Trezor-Kunden?
Der Datensatz kann überzeugende Phishing-E-Mails, betrügerische Anrufe und Briefe sowie potenzielle physische Zielverfolgung ermöglichen. Trezor warnte betroffene Nutzer dringend, Wallet-Backups niemals weiterzugeben oder auf Websites einzugeben.
WuBlockchain
WatcherGuru
CoinTelegraph
CoinDesk
TheBlock