Trezor hat am Donnerstag bestätigt, dass bei einem seiner Versandpartner eine Datenpanne persönliche Daten von 13.689 Kunden offengelegt hat. Dabei wurden Namen, Wohnadressen, Telefonnummern und E-Mail-Adressen gestohlen.
Es wurden keine Kryptowährungen bewegt. Trezor teilt mit, dass die eigenen Systeme, die Geräte sowie die Wallet-Backups der Kunden nie berührt wurden. Der Schaden betrifft ausschließlich einen externen Anbieter.
Was der Trezor-Datenverstoß offengelegt hat
ShipMonk lagert und verschickt Trezor-Bestellungen. Am 10. August teilte das Unternehmen Trezor mit, dass eine unbefugte Person auf Systeme mit Kundendaten zugegriffen hatte.
Es gibt zwei Gruppen betroffener Kunden. Rund 11.742 Käufer haben alle Daten verloren, das heißt, Name, E-Mail-Adresse, Telefonnummer und vollständige Versandadresse. Bei weiteren 1.947 Personen wurden nur Name, Stadt und E-Mail offengelegt.
Der Zeitpunkt der Bestellung entscheidet über den Betroffenenkreis. Der Vorfall betrifft Bestellungen, die zwischen dem 10. Mai und 8. August dieses Jahres in den USA, Großbritannien, Schweden, Kolumbien, Brasilien, Italien und Portugal geliefert wurden.
Ältere Käufer waren durch eine Regel geschützt. Trezor verpflichtet Partner, Bestelldaten spätestens 90 Tage nach Lieferung zu löschen oder zu anonymisieren, daher wurden frühere Lieferungen bereits entfernt.
Es gibt einen einfachen Test. Betroffene Kunden haben eine E-Mail von [email protected] erhalten. Wer keine solche E-Mail bekommen hat, ist nicht betroffen.
Ein Detail ist besonders ärgerlich. ShipMonk besitzt die SOC 2 Typ II Zertifizierung, einen geprüften Sicherheitsstandard, wurde aber trotzdem gehackt.
Warum eine geleakte Adresse schwerer wiegt als eine geleakte E-Mail
Mit einer E-Mail allein kann ein Betrüger wenig anfangen. Name, Anschrift und Telefonnummer zusammen machen jedoch viel aus. Diese Daten kennzeichnen eine konkrete Person an einer bestimmten Adresse als Käufer von Kryptowährungen.
Trezor hat das Vorgehen erläutert. Betrüger können gefälschte E-Mails schicken, falsche Anrufe tätigen, betrügerische Briefe versenden oder sich als Bank, Börse oder Trezor selbst ausgeben.
Ein solches Muster ist aus der Vergangenheit bekannt. Ledger verlor im Juli 2020 etwa 1 Million E-Mail-Adressen von Kunden. Bei etwa 9.500 dieser Kunden wurden zusätzlich vollständige Postadressen offengelegt und gefälschte Briefe mit Recovery-Phrasen erreichten Jahre später ihre Empfänger.
Im Vergleich dazu wurde bei Trezor die vollständige Adresse von 11.742 Personen offengelegt, also mehr als die 9.500 Ledger-Kunden damals.
Ledger-CEO Pascal Gauthier antwortete bereits 2020 auf diese Befürchtungen und seine Argumentation gilt weiterhin.
„Es gibt keine Möglichkeit, einen Zusammenhang zwischen den geleakten Daten und den Vermögenswerten in Ihrer Wallet herzustellen”, heißt es in einer Mitteilung von Ledger.
Die Angreifer hatten die Marke bereits im Visier. Eine neue Trezor-Phishing-Anzeige erschien wenige Tage vor dieser Bekanntgabe. Zusätzlich haben gefälschte Support-Anrufe in diesem Jahr bereits Millionen von Haltern geschädigt.
Lieferanten bleiben weiterhin das schwächste Glied. Beim Zahlungsabwickler von Ledger wurden im Januar erneut Kundendaten offengelegt.
Was Trezor-Besitzer jetzt tun sollten
Die Empfehlung ist einfach und wirkungsvoll. Jede Dringlichkeit ist ein Warnsignal. Prüfen Sie alles Ungewöhnliche über die offiziellen Kanäle von Trezor. Geben Sie niemals Ihr Wallet-Backup auf einer Website ein.
„Geben Sie Ihr Wallet-Backup niemals auf einer Website ein oder teilen Sie es mit jemandem”, so Trezor in einem Blogbeitrag.
Zwei einfache Gewohnheiten verringern das Risiko künftig. Bestellen Sie mit einer E-Mail, die keinen Bezug zu Ihrem echten Namen hat, und zahlen Sie, wenn möglich, in Kryptowährung.
Trezor hat zudem eine Option für anonyme Lieferung angekündigt, mit Schließfachabholung und neutraler Verpackung. Diese soll in der EU bis September verfügbar sein und in den USA bis Ende 2026.
Laut Trezor war dies der erste Verstoß seit 2013, bei dem Kundentelefonnummern und Versandadressen kompromittiert wurden. Die Hardware ist weiterhin sicher. Die Schwachstelle lag nie im Gerät, sondern immer nur an der Verpackung.
