Trezor erklärte in einem Update vom 4. September, dass rund 67.000 weitere US-Kunden von einer Datenpanne beim Versanddienstleister ShipMonk betroffen seien. Die Datensätze umfassten Bestellungen aus den Jahren 2019 bis 2021, womit sich die gemeldete Gesamtzahl auf 80.689 Kunden erhöht. Trezor erklärte, die eigenen Systeme und Geräte seien nicht betroffen gewesen, Paketinhalte seien nicht offengelegt worden, und keine Gelder seien gestohlen worden. Lediglich Kontakt- und Lieferdaten seien durchgesickert.
Der Vorfall lässt die direkte Kontrollebene des Wallets intakt, jedoch nicht unbedingt die seines Besitzers. Hardware-Wallets verwahren Bitcoin-Privatschlüssel auf einem dedizierten Gerät, doch Wiederherstellungswörter können den Zugriff anderswo wiederherstellen. Ein Angreifer, der einen Besitzer dazu bringt, diese Wörter preiszugeben, kann die Schutzmaßnahmen des Geräts umgehen.
Warum das wichtig ist
Ein Name, eine Adresse und eine erkennbare Bestellung beweisen nicht, dass jemand noch Bitcoin besitzt, und geben keinen Hinweis auf einen Kontostand. Sie können jedoch eine gefälschte E-Mail, einen Brief oder eine Support-Anfrage glaubwürdig erscheinen lassen. Ledger-Phishing-Kampagnen haben physische Post genutzt, um Empfänger auf Webseiten zu leiten, die nach Wiederherstellungswörtern fragen, und Lieferdaten so zu einem Werkzeug für Social Engineering gemacht.
Versanddatensätze können zudem nach der Zustellung in Datenbank-Replikaten, Support-Exports, Backups und Systemen von Auftragnehmern weiterhin existieren. ShipMonk gab Trezor schriftliche Zusicherungen, dass die Datensätze gelöscht wurden, doch eine Zusicherung ist kein direkter Beweis dafür, dass jede Kopie verschwunden ist.
Auswirkungen auf den Markt
Trezor meldete keinen direkten Verlust durch seine Geräte oder Bitcoin-Bestände. Das konkrete Risiko ist gezieltes Phishing bei betroffenen Kunden, die möglicherweise Nachrichten erhalten, die Details enthalten, die ein Außenstehender nicht kennen sollte. Paketstationen, neutrale Verpackung und separate Kontaktdaten können die künftige Gefährdung verringern, während Hersteller kürzere Aufbewahrungsfristen und einen Nachweis benötigen, dass Anbieter alte Datensätze tatsächlich entfernen.
Häufig gestellte Fragen
-
Welche Informationen wurden durch die ShipMonk-Datenpanne offengelegt?
Die durchgesickerten Daten beschränkten sich auf Kontakt- und Lieferdetails der Kunden. Trezor erklärte, die eigenen Systeme, Geräte und Paketinhalte seien nicht betroffen gewesen.
-
Wurden bei dem Vorfall Bitcoin-Privatschlüssel oder Guthaben offengelegt?
Nein. Trezor erklärte, die eigenen Systeme und Geräte seien nicht betroffen gewesen, Paketinhalte seien nicht offengelegt worden, und keine Gelder seien gestohlen oder veruntreut worden.
-
Wie können Versanddetails Bitcoin-Phishing überzeugender machen?
Ein Name, eine Adresse und eine erkennbare Bestellung können eine gefälschte E-Mail, einen Brief oder eine Support-Anfrage glaubwürdig erscheinen lassen. Diese Glaubwürdigkeit kann genutzt werden, um nach Wiederherstellungswörtern zu fragen.
-
Warum sind ShipMonks Löschzusicherungen nicht abschließend?
Versanddaten können nach der Zustellung in Datenbank-Replikaten, Support-Exports, Backups und Systemen von Auftragnehmern weiterhin vorhanden sein. Eine schriftliche Zusicherung beweist nicht direkt, dass jede Kopie entfernt wurde.
-
Was können Käufer von Hardware-Wallets tun, um die künftige Gefährdung zu verringern?
Käufer können Paketstationen nutzen, neutrale Verpackung und separate Kontaktdaten verwenden, Nachrichten unabhängig prüfen und niemals Wiederherstellungswörter weitergeben. Hersteller können zudem die Aufbewahrung begrenzen und Nachweise verlangen, dass Anbieter alte Datensätze löschen.
WuBlockchain
WatcherGuru
CoinTelegraph
CoinDesk
TheBlock