Der Hardware-Wallet-Anbieter Trezor hat eine gezielte Phishing-Welle gegen seine Kunden bestätigt, die auf einen Sicherheitsvorfall bei einem Drittanbieter zurückgeht. Nach Unternehmensangaben wurden insgesamt 347.000 E-Mail-Adressen aus der Newsletter-Datenbank exponiert. Rund 2.500 Nutzer klickten auf einen eingebetteten bösartigen Link, bevor die Angreifer gestoppt werden konnten. Der Vorfall unterstreicht einmal mehr, dass selbst branchenführende Krypto-Dienstleister durch Schwachstellen in ihrer Lieferkette verwundbar bleiben.
Angriff über kompromittierten E-Mail-Dienstleister
Am 9. September 2026 drangen unbefugte Akteure in die Systeme von Brevo ein, dem Drittanbieter, den Trezor für seine Newsletter-Kampagnen nutzt. Der Vorfall betraf Berichten zufolge insgesamt 120 Brevo-Konten. Die Angreifer nutzten den erlangten Zugriff, um E-Mails im Namen mehrerer Kunden zu versenden – darunter auch Trezor. Konkret griffen sie auf die Opt-in-Newsletter-Datenbank zu, die rund 347.000 Adressen umfasst. Diese Adressen könnten nach Einschätzung des Unternehmens künftig für weitere Phishing-Versuche genutzt werden.
Trezor sperrte das Brevo-Konto umgehend, um die weitere Verteilung der Phishing-Mails zu unterbinden. Die kriminelle Kampagne war demnach auf einen Zeitraum von etwa 20 Minuten begrenzt. In dieser Zeit verschickten die Angreifer gefälschte „kritische Sicherheitswarnungen“ mit der Absenderadresse [email protected]. Die Empfänger wurden darin aufgefordert, einen Link anzuklicken, der zu einer vermeintlichen App führte. Diese App forderte die Kunden zur Eingabe ihres Wallet-Backups auf. Tatsächlich handelte es sich um eine Schädlingssoftware, die auf die Entwendung von Seed-Phrasen abzielte. Die Betrugsmasche war laut der Warnung von Trezor als angebliche Schwachstelle im STM32-Mikrocontroller der Hardware-Wallets getarnt.
Direkte Auswirkungen auf betroffene Nutzer
Von den fast 350.000 exponierten Adressen klickten etwa 2.500 Personen den schädlichen Link, bevor die Domain durch Trezor abgeschaltet wurde. Das Unternehmen betont, dass keine anderen Systeme von Trezor selbst kompromittiert wurden. Dennoch müssen betroffene Nutzer mit weiteren Phishing-Versuchen rechnen, da die erbeuteten E-Mail-Adressen in einschlägigen Kreisen gehandelt werden könnten. Kunden, die auf die Masche hereingefallen sind, wird dringend empfohlen, ihre Wallet-Backups nicht preiszugeben und bei Verdacht auf Kompromittierung sofort neue Seed-Phrasen zu generieren.
Hintergrund: Trezors mehrfache Sicherheitsvorfälle
Dies ist nicht der erste Vorfall dieser Art. Bereits im Januar 2024 hatte Trezor eine Datenschutzverletzung bekannt gegeben, nachdem ein Support-Ticketing-Portal eines Drittanbieters gehackt worden war. Dabei erbeuteten Angreifer Daten von rund 66.000 Nutzern, darunter Namen, Benutzernamen und E-Mail-Adressen. Nur einen Monat vor dem aktuellen Brevo-Vorfall wurde zudem ein Einbruch bei ShipMonk, dem Logistik- und Versanddienstleister von Trezor, bekannt. Dort nutzten Angreifer eine kritische SQL-Injection-Schwachstelle in der Metabase-Plattform aus, die als Zero-Day vorlag.
Ursprünglich war von knapp 14.000 betroffenen Kunden die Rede. Eine Nachuntersuchung weitete die Zahl jedoch auf insgesamt 81.000 Personen aus, da zusätzlich 67.000 Kunden aus den USA betroffen waren. Darüber hinaus waren Kunden in Brasilien, Kolumbien, Italien, Portugal, Schweden und dem Vereinigten Königreich betroffen, die zwischen dem 10. Mai und dem 8. August 2026 Bestellungen aufgegeben hatten. Nach dem ShipMonk-Vorfall erhielt das Unternehmen zudem Erpressungsmails von der Erpresserbande ShinyHunters.
Welche Mechanismen stecken hinter den Angriffen?
Die wiederholten Vorfälle bei Trezor zeigen ein klares Muster: Angreifer greifen nicht direkt die Kerninfrastruktur des Krypto-Unternehmens an, sondern kompromittieren vorgelagerte Dienstleister mit schwächeren Sicherheitsvorkehrungen. Im aktuellen Fall nutzten sie einen Drittanbieter für E-Mail-Marketing, um gezielt Phishing-Kampagnen zu fahren. Die gefälschten Mails waren technisch aufwendig gestaltet – sie trugen eine scheinbar legitime Absenderadresse und sprachen ein spezifisches Sicherheitsszenario an, das für Krypto-Nutzer hochrelevant ist. Die Behauptung einer Hardware-Verwundbarkeit im STM32-Chip zielt darauf ab, Misstrauen in die Sicherheit der eigenen Hardware zu säen, um den Nutzer zur Preisgabe seines Seed zu bewegen.
Für die Betroffenen bedeutet dies: Ein einmal geklickter Link ist nicht zwangsläufig katastrophal, sofern die gefälschte App nicht ausgeführt oder Seed nicht eingegeben wird. Doch bereits die Eingabe auf einer verdächtigen Seite kann zur vollständigen Kompromittierung des Wallets führen. Trezor selbst empfiehlt daher, ausschließlich die offizielle Trezor-Suite-Software zu verwenden und niemals Seed-Phrasen in einem Browser oder einer unbekannten Anwendung einzugeben.
Konsequenzen für die Branche und Ausblick
Die Ereignisse werfen ein Schlaglicht auf ein grundlegendes Problem der Krypto-Branche: Die Abhängigkeit von Drittanbietern für kritische Geschäftsprozesse. Während Hardware-Wallet-Hersteller für ihre eigenen Systeme hohe Sicherheitsstandards ansetzen, sind die Lieferketten oft die schwächste Stelle. Trezor hat angekündigt, die Zusammenarbeit mit Brevo vorerst ausgesetzt zu haben und prüft nun alternative Lösungen oder eine stärkere Absicherung der Schnittstellen. Für die betroffenen 347.000 Kunden bleibt die Unsicherheit: Ihre E-Mail-Adressen sind nun potenziell Ziel weiterer Angriffe. Das Unternehmen warnt explizit vor zukünftigen Phishing-Versuchen, die auf die gleiche Adressliste zurückgreifen könnten.
Es bleibt abzuwarten, ob regulatorische Behörden wie die europäische DSGVO-Aufsicht oder US-amerikanische Verbraucherschutzbehörden aufgrund der wiederholten Vorfälle tätig werden. Für Nutzer selbst gilt umso mehr die goldene Regel: Jede unaufgeforderte Nachricht, die nach persönlichen Wallet-Daten oder Seed-Phrasen fragt, ist als Angriff zu werten. Hardware-Wallet-Anbieter fordern solche Informationen niemals per E-Mail oder Telefon an. Die jüngste Entwicklung macht deutlich, dass Phishing-Attacken auch 2026 zu den gefährlichsten Bedrohungen für Krypto-Anleger zählen – und dass selbst vertrauenswürdige Marken nicht immun gegen Sicherheitslücken in ihrer Zuliefererkette sind.
