Der Hardware-Wallet-Hersteller Trezor hat ein Datenleck offengelegt, von dem knapp 14.000 Kunden betroffen sind. Ursache war ein Sicherheitsvorfall beim Logistikdienstleister ShipMonk, der am 10. August 2026 entdeckt wurde und auf eine kritische Schwachstelle in der Analyseplattform Metabase zurückgeht. Angreifer erlangten Zugriff auf Bestelldaten, darunter vollständige Namen, Lieferadressen, E-Mail-Adressen und Telefonnummern.
Details zum Trezor-Datenleck: Wer ist betroffen?
Wie Trezor im offiziellen Blog mitteilte, wurden insgesamt 13.689 Kunden in unterschiedlichem Ausmaß kompromittiert. Bei 11.742 Personen gelangten alle vier Datentypen (Name, E-Mail, Telefon, Adresse) in falsche Hände; weitere 1.947 Kunden waren teilweise betroffen, wobei Name, Stadt und E-Mail-Adresse abflossen. Der Vorfall betrifft ausschließlich Bestellungen, die zwischen dem 10. Mai und dem 8. August 2026 in folgenden Ländern aufgegeben wurden:
- Vereinigte Staaten
- Vereinigtes Königreich
- Schweden
- Kolumbien
- Brasilien
- Italien
- Portugal
Der Hersteller betonte, dass die eigenen Systeme von Trezor nicht angegriffen wurden und sämtliche Hardware-Wallets weiterhin sicher seien. Weder die Dienste noch die Funktionalität der Geräte seien beeinträchtigt. Die eigentliche Gefahr für die betroffenen Kunden liegt in den erwarteten Phishing-Angriffen.
Angriffskette: Metabase-Zero-Day als Einfallstor
ShipMonk informierte Trezor sowie die betroffenen Kunden in separaten Benachrichtigungen über die genaue Ursache. Demnach nutzten die Angreifer eine bis dahin unbekannte SQL-Injection-Schwachstelle (Zero-Day) in der Open-Source-Analyseplattform Metabase aus. Diese Schwachstelle erlaubte es, Administratorzugriff auf die jeweilige Metabase-Instanz zu erlangen und anschließend Daten zu stehlen. Metabase selbst bestätigte den Vorfall und teilte mit, dass die Sicherheitslücke inzwischen geschlossen und alle aktiven Sitzungen ungültig gemacht wurden. Der Logistiker leitete zudem eine forensische Untersuchung mit externen Sicherheitsexperten ein.
Interessanterweise sind Trezor und ShipMonk nicht die einzigen, die von dieser Metabase-Schwachstelle betroffen waren. Wie bereits im Vorfeld bekannt wurde, hatten auch der Laptop-Hersteller Framework und der Online-Formular-Anbieter Tally mit ähnlichen Datendiebstählen zu kämpfen, nachdem ihre Metabase-Instanzen übernommen wurden. Der Vorfall verdeutlicht, dass selbst vertrauenswürdige Drittanbieter-Software zum Risiko werden kann, wenn kritische Schwachstellen nicht zeitnah geschlossen werden.
Warnung vor gezielten Phishing-Versuchen
Trezor warnte die betroffenen Kunden eindringlich vor einer Welle von Phishing-Angriffen, die in den nächsten Wochen zu erwarten sei. Die gestohlenen Daten – insbesondere die Kombination aus Name, Adresse und Telefonnummer – ermöglichen besonders personalisierte Betrugsversuche. Die Angreifer könnten sich als Banken, Kryptobörsen oder sogar als Trezor selbst ausgeben, um an die 24-Wort-Wiederherstellungsphrase der Hardware-Wallets zu gelangen. In der Vergangenheit, etwa bei einem früheren Vorfall im Januar 2024, hatten Kriminelle bereits gestohlene Support-Daten genutzt, um gezielt Phishing-Mails zu versenden.
Der Hersteller riet allen potenziell Betroffenen, keine persönlichen Daten auf Anfrage herauszugeben, Links in unerwarteten Nachrichten nicht zu klicken und ausschließlich die offizielle Trezor-Website sowie die dafür vorgesehenen Apps zu nutzen. Besonders gefährlich sei die Möglichkeit, dass die Täter echte Namen und Adressen verwenden, um Briefe mit gefälschtem Briefkopf zu versenden – eine Masche, die im Kryptobereich immer häufiger auftritt.
Einordnung: Wiederholte Sicherheitsvorfälle bei Trezor
Dies ist nicht der erste Vorfall dieser Art für den Hardware-Wallet-Anbieter. Bereits im Januar 2024 hatten Angreifer Zugriff auf das Support-Ticketing-System eines Drittanbieters erlangt und die Daten von rund 66.000 Kunden abgegriffen – darunter Namen, Benutzernamen und E-Mail-Adressen. Damals wie heute bestätigte Trezor, dass die gestohlenen Informationen für gezielte Phishing-Attacken verwendet wurden. Auch andere Unternehmen aus der Krypto- und Technologiebranche sind betroffen: Erst am Montag informierte Valve, der Betreiber der Spieleplattform Steam, europäische Hardware-Kunden über einen Datendiebstahl beim Logistikpartner CEVA Logistics.
Die wiederkehrenden Vorfälle zeigen ein grundlegendes Problem auf: Auch wenn die Hardware-Wallets selbst als sicher gelten, bleiben die sie umgebenden Prozesse – insbesondere bei Lieferketten und Kundensupport – verwundbar. Anwender sollten daher nicht nur auf die Sicherheit ihrer Geräte achten, sondern auch die Datenschutzpraktiken der von ihnen genutzten Dienste kritisch hinterfragen. Für Trezor steht nun die Schadensbegrenzung im Vordergrund: Transparente Kommunikation und konkrete Handlungsanleitungen sind der einzige Weg, das Vertrauen der betroffenen Kunden zurückzugewinnen. In der aktuellen Bedrohungslage müssen alle Inhaber von Kryptowährungen mit einer Zunahme hochgradig personalisierter Angriffe rechnen – unabhängig davon, ob ihr eigener Wallet-Hersteller direkt betroffen ist oder nicht.
