Kurz zusammengefasst
- Trezor gab am Freitag bekannt, dass weitere 67.000 US-Kunden von der ShipMonk-Verletzung betroffen sind, die das Unternehmen letzten Monat offengelegt hatte.
- Die Datensätze umfassen Bestellungen, die zwischen November 2019 und August 2021 aufgegeben wurden, und enthalten Namen, Telefonnummern und Privatadressen.
- Trezor sagt, es habe wiederholt schriftliche Bestätigungen von ShipMonk erhalten, dass die Daten gelöscht worden seien.
Weitere 67.000 Trezor-Kunden hatten ihre Namen, E-Mail-Adressen, Telefonnummern, Privatadressen und Bestellnummern bei der Sicherheitsverletzung beim Versanddienstleister ShipMonk offengelegt, so der Hardware-Wallet-Herstelleram Freitag.
Alle von ihnen befinden sich in den USA und haben alle Bestellungen zwischen November 2019 und August 2021 aufgegeben, wodurch einige der offengelegten Datensätze fast sieben Jahre alt sind. ShipMonk hat den Befund vor zwei Tagen weitergegeben.
Vor zwei Tagen erhielten wir ein Update von unserem Versanddienstleister ShipMonk. Wir sind zutiefst betroffen, die Nachricht zu teilen, dass die jüngste Datenverletzung mehr Kunden betrifft als ursprünglich angenommen.
Weitere 67.000 Kunden aus den USA, die zwischen November 2019 und August 2021 bestellt haben… https://t.co/yDQvTlAA2S
— Trezor (@Trezor) 4. September 2026
Trezor hat wiederholt schriftliche Bestätigungen angefordert und erhalten, dass diese Datensätze gelöscht wurden, in Übereinstimmung mit seinem Vertrag und seiner Datenrichtlinie, und sagte, es sei enttäuscht zu erfahren, dass dies nicht der Fall war.
Als das Unternehmen die Sicherheitsverletzung im Augustoffenlegte, führte es den begrenzten Umfang auf eine 90-Tage-Löschrichtlinie zurück, die es angeblich in den Bedingungen seiner Fulfillment-Partner ausgehandelt hatte. Diese Behauptung sieht nun erheblich schwächer aus. Die Zahl ist von 13.689 auf etwa 80.700 gestiegen.
Wallet-Besitzer sind mehreren Bedrohungen ausgesetzt
Trezors eigene Systeme wurden nicht verletzt, und Geräte, private Schlüssel und Wallet-Backups sind unberührt. Die Gefahr besteht darin, dass die Datensätze bestätigte Hardware-Wallet-Besitzer an bestimmten Haustüren identifizieren. Neben gefälschten E-Mails, Anrufen und Briefen warnte Trezor betroffene Kunden vor Risiken für ihre physische Sicherheit und wiederholte, dass ein Wallet-Backup niemals geteilt oder auf einer Website eingegeben werden sollte.
Besitzer sowohl von Trezor als auch des Konkurrenz-Hardware-Wallets Ledger erhielten bereits im Februargefälschte Briefe, bedruckt mit Hologrammen, QR-Codes und gefälschten Unterschriften der Geschäftsführung, in denen sie aufgefordert wurden, eine fiktive Sicherheitsüberprüfung zu aktivieren oder den Zugriff auf ihre Wallets zu verlieren.
Damals sagte der Cybercrime-Berater David Sehyeon Baek gegenüber Decrypt, dass ein Brief mit Namen und Privatadresse signalisiert: „Wir können Sie lokalisieren“, und dass gestohlene Daten jahrelang nützlich bleiben, weil Menschen selten umziehen oder ihre Nummern ändern.
Der Eindringung liegt einekritische SQL-Injection-Schwachstelle im Analysetool Metabase zugrunde, die am 6. August offengelegt wurde und es nicht authentifizierten Angreifern ermöglichte, Anmeldeinformationen für verbundene Datenbanken zu stehlen. Der Laptop-HerstellerFramework und der Formular-Builder Tally wurden in derselben Welle erfasst. ShipMonk hatBerichten zufolge Erpressungs-E-Mails erhalten, die ShinyHunters zugeschrieben werden, obwohl diese Zuordnung unbestätigt bleibt.
Trezor erklärte, dass man daran arbeite, den anonymen Versand so schnell wie möglich anzubieten, eine Option, die Abholung an einem Schließfach, neutrale Verpackung und allgemeine Absenderdaten umfasst, sodass Käufer überhaupt keine Privatadresse angeben müssen.
