Der Hardware-Wallet-Hersteller Trezor hat seine Kunden vor gezielten Phishing-Angriffen gewarnt, die im Zuge einer Sicherheitsverletzung bei einem Drittanbieter für E-Mail-Dienste möglich wurden. Die betroffenen Nutzer erhielten gefälschte E-Mails mit dem Betreff „Critical Security Alert: STM32 Entropy Vulnerability“, die angeblich von [email protected] stammten und vor einer angeblichen Schwachstelle in den STM32-Mikrocontrollern der Cold-Storage-Wallets warnten. Tatsächlich handelte es sich um einen raffinierten Phishing-Versuch, der darauf abzielte, an die sensiblen Seed-Phrasen der Kunden zu gelangen.
Gefälschte Sicherheitswarnungen im Umlauf
Die betrügerischen Nachrichten suggerierten, dass eine Schwachstelle im Mikrocontroller der Trezor-Wallets es Angreifern ermögliche, die Seeds per Brute-Force zu knacken. Trezor stellte umgehend klar, dass diese E-Mails nicht von dem Unternehmen stammen. „Unser E-Mail-Anbieter wurde kompromittiert. Bitte beachten Sie, dass die E-Mail mit dem Betreff ‚Critical Security Alert: STM32 Entropy Vulnerability‘ nicht von uns stammt – es handelt sich um einen Phishing-Versuch. Klicken Sie auf keinen Link“, warnte das Unternehmen über seinen offiziellen X-Account. Die verdächtige Domain sei bereits abgeschaltet worden, und die internen Ermittlungen zu dem Vorfall liefen auf Hochtouren.
Die Angreifer nutzten offenbar den Zugang zum E-Mail-System des Drittanbieters, um die Nachrichten über die legitime Domain von Trezor zu versenden. Dies verleiht der Phishing-Welle eine besonders trügerische Authentizität, da die E-Mails tatsächlich von [email protected] kamen. Für Kunden bedeutet dies: Selbst eine vermeintlich vertrauenswürdige Absenderadresse ist kein Garant für die Echtheit einer Nachricht mehr.
Chronologie der Sicherheitsvorfälle bei Trezor
Der aktuelle Phishing-Angriff ist nicht der erste Vorfall dieser Art in der jüngeren Vergangenheit. Bereits im August hatte Trezor eine Datenschutzverletzung offenlegen müssen, nachdem Hacker in die Systeme von ShipMonk eingedrungen waren, dem Logistik- und Versanddienstleister des Unternehmens. Dabei erbeuteten die Angreifer umfangreiche Auftragsdaten, darunter vollständige Namen, Lieferadressen, E-Mail-Adressen und Telefonnummern. Zunächst war die Rede von knapp 14.000 betroffenen Kunden. Eine Nachuntersuchung ergab jedoch, dass die tatsächliche Zahl mit weiteren 67.000 betroffenen US-Kunden bei insgesamt 81.000 lag.
Besonders brisant: Die Datenpanne bei ShipMonk hatte auch Kunden in Brasilien, Kolumbien, Italien, Portugal, Schweden und dem Vereinigten Königreich betroffen, die zwischen dem 10. Mai und dem 8. August 2026 Bestellungen aufgegeben hatten. Wie aus den Benachrichtigungsschreiben hervorgeht, nutzten die Angreifer eine Schwachstelle in der Analyseplattform Metabase aus, um in die ShipMonk-Systeme einzudringen. Metabase selbst bestätigte Anfang August, dass eine kritische SQL-Injection-Zero-Day-Schwachstelle ausgenutzt wurde, um auf Kundeninstanzen zuzugreifen, Administratorrechte zu erlangen und Daten zu stehlen.
Die Rolle der Erpresserbande ShinyHunters
Im Zuge der Ermittlungen wurde bekannt, dass ShipMonk nach dem Einbruch Erpressungs-E-Mails von der Gruppierung ShinyHunters erhalten hatte. Diese Bande ist für ihre Datenraub- und Erpressungskampagnen bekannt, bei denen gestohlene Kundendaten oft als Druckmittel eingesetzt werden. Der Vorfall bei ShipMonk reiht sich nahtlos in die zunehmende Bedrohungslage für Drittanbieter-Schnittstellen in der Kryptobranche ein.
Der Vorfall vom Januar 2024
Bereits im Januar 2024 hatte Trezor einen weiteren Datenschutzvorfall gemeldet. Damals wurde das Support-Ticketing-Portal eines Drittanbieters kompromittiert. Die Angreifer erlangten Zugriff auf personenbezogene Daten von rund 66.000 Nutzern, darunter Namen, Benutzernamen und E-Mail-Adressen. Die wiederholte Betroffenheit über Drittanbieter zeigt ein Muster auf, das für die gesamte Hardware-Wallet-Branche eine systemische Schwachstelle darstellt: Die Sicherheitskette endet nicht beim eigenen Produkt, sondern umfasst das gesamte Ökosystem an Dienstleistern.
Warum Phishing-Angriffe auf Wallet-Besitzer besonders gefährlich sind
Im Gegensatz zu vielen anderen Online-Diensten kann ein erfolgreicher Phishing-Angriff bei Hardware-Wallets zu einem unwiderruflichen Totalverlust führen. Erlangt ein Angreifer die Seed-Phrase – eine Liste von 12 bis 24 Wörtern, die den privaten Schlüssel repäsentiert – kann er die Kryptowährungen auf eine eigene Wallet übertragen. Transaktionen auf der Blockchain sind nicht umkehrbar. Daher zielen Phishing-Kampagnen gezielt auf die Panik der Nutzer ab, wie die erwähnte Meldung einer angeblichen Sicherheitslücke. Die Betreiber wetten darauf, dass Kunden in ihrer Sorge um ihr Kapital unbedacht auf Links klicken oder ihre Seed-Phrase auf einer gefälschten Seite eingeben.
Wie Sie sich als Trezor-Kunde jetzt schützen können
Angesichts der aktuellen und früheren Vorfälle ist erhöhte Wachsamkeit geboten. Klicken Sie niemals auf Links in E-Mails, die angeblich von Trezor stammen und zur Eingabe Ihrer Seed-Phrase auffordern. Ein seriöser Wallet-Hersteller wird Sie nie nach Ihrer Seed-Phrase fragen – weder per E-Mail, Telefon noch über eine Website. Die einzige offizielle und vertrauenswürdige Quelle für Software-Updates und Sicherheitswarnungen ist die offizielle Trezor-Website (trezor.io) und die Trezor Suite App. Ändern Sie bei Unsicherheit Ihre mit dem Trezor-Konto verbundenen Passwörter und aktivieren Sie die Zwei-Faktor-Authentifizierung, sofern verfügbar.
Die wachsende Bedrohung durch Lieferkettenangriffe
Die Ereignisse um Trezor sind ein Paradebeispiel für eine sich verschärfende Bedrohung: Lieferkettenangriffe auf Drittanbieter. Wie die Analyseplattform Metabase zeigt, sind selbst spezialisierte Softwarelösungen nicht immun gegen Zero-Day-Exploits. Für Unternehmen wie Trezor, die auf eine Vielzahl externer Dienstleister angewiesen sind – von E-Mail-Marketing über Logistik bis hin zu Ticketing – entsteht ein komplexes Risikogeflecht. Jeder einzelne Dienstleister wird zum potenziellen Einfallstor. Die Branche steht vor der Herausforderung, diese Abhängigkeiten nicht nur zu identifizieren, sondern auch kontinuierlich auf ihre Sicherheitslage zu prüfen, was in der Praxis technisch und organisatorisch äußerst aufwendig ist.
Die Zukunft der Sicherheit bei Hardware-Wallets wird daher nicht nur von der Härtung der eigentlichen Hardware abhängen, sondern maßgeblich von der Fähigkeit der Hersteller, ihre digitalen Lieferketten abzusichern. Kunden sollten sich darüber im Klaren sein, dass die Verwendung eines Hardware-Wallets allein keinen absoluten Schutz bietet – die gesamte Interaktion mit dem Ökosystem, inklusive E-Mail-Kommunikation und Webseiten, bleibt ein entscheidender Sicherheitsfaktor, der stets kritisch hinterfragt werden muss.
