Trezor-Phishing zeigt: Das Risiko endet nicht beim Wallet

Trezor hat seine Nutzer am 9. September 2026 vor einer Phishing-Kampagne gewarnt, die über einen kompromittierten Drittanbieter-E-Mail-Dienst verschickt wurde. Laut Angaben des Unternehmens waren die Hardware-Wallets und Geräte selbst zu keinem Zeitpunkt betroffen. Die Angreifer zielten stattdessen auf etwas, das sich technisch schwerer absichern lässt: das Vertrauen der Nutzer in eine scheinbar legitime Absenderadresse.

Eine gefälschte Sicherheitswarnung über echte Trezor-Infrastruktur

Die betrügerische Nachricht behauptete einen Designfehler in STM32-Chips, der angeblich die Zufälligkeit und damit die Sicherheit von Recovery-Phrases schwächen könne. Ein Empfänger berichtete, die Mail sei von der Adresse [email protected] eingegangen, über einen Sendinblue-Kampagnenpfad gelaufen und habe die DKIM-, SPF- und DMARC-Prüfungen bestanden – technische Standards, die eigentlich vor gefälschten Absendern schützen sollen.

Trezor reagierte kurz nach 16:30 Uhr Eastern Time am 9. September mit einer öffentlichen Warnung, stoppte die zum Versand genutzte Domain und leitete eine Untersuchung ein, wie die legitime Versandinfrastruktur missbraucht werden konnte. Laut Decrypt stufte Trezor die Nachricht umgehend als Fälschung ein und riet Nutzern ausdrücklich, keine enthaltenen Links anzuklicken.

Drittanbieter- und Datenrisiken hinter dem Phishing

Wichtig für die Einordnung ist die Unterscheidung zwischen Datenleck und Geräte-Exploit: Bei einem Datenleck werden Identitäts- und Kontaktdaten offengelegt, ohne dass Seed-Phrases oder private Schlüssel kompromittiert sind. Genau das war beim ShipMonk-Vorfall der Fall, bei dem Trezor die Zahl der betroffenen Kunden nach Einbeziehung älterer US-Bestelldaten aus den Jahren 2019 bis 2021 zuletzt auf 80.689 bezifferte.

Auch SafePal meldete die Offenlegung von Daten von rund 39.798 Kunden durch einen Fehler in einem Bestellverfolgungs-Plugin, betonte aber, dass Seed-Phrases, private Schlüssel und Wallet-Zugangsdaten nicht kompromittiert wurden. Ähnliche Muster kompromittierter Marketing- und Versanddienstleister zeigen sich auch in anderen Teilen des Ökosystems, etwa bei dem jüngsten Sicherheitsvorfall rund um den Tectonic-Exploit auf Cronos.

Trezor-Warnung und Einordnung durch Branchenvertreter

Nick Neuman, Mitgründer und CEO von Casa, verwies laut Decrypt auf Anzeichen eines ähnlichen Musters bei Nutzern von BitBox und vermutete, dass ein gemeinsamer Marketing-E-Mail-Anbieter betroffen sein könnte. Sollte sich das bestätigen, wäre der Vorfall kein isoliertes Trezor-Problem, sondern ein branchenweites Muster kompromittierter Dienstleister-Infrastruktur.

Die Sicherheitsgrenze reicht über das Gerät hinaus

Der Vorfall macht deutlich, dass Hardware-Wallets zwar sicher sein können, während E-Mail-Dienste, Versandunternehmen und Zahlungsabwickler eine zusätzliche Angriffsfläche bilden, die Hersteller nicht vollständig kontrollieren. Aus geleakten Bestelldaten lassen sich kontextreiche Zielprofile erstellen – Name, E-Mail-Adresse, Telefonnummer, Lieferadresse und die Bestätigung, dass jemand ein Hardware-Wallet besitzt, reichen aus, um überzeugende Phishing-Mails, Anrufe oder sogar physische Ansätze zu konstruieren. Wie stark Social Engineering mittlerweile finanziellen Schaden anrichten kann, zeigt auch der Fall rund um den Krypto-Diebstahl in Höhe von 245 Millionen US-Dollar.

Für den aktuellen Trezor-Fall gibt es bislang keinen Beleg für einen direkten Verlust von Geräten, Recovery-Phrases oder Vermögenswerten. Die Lektion aus dem Vorfall ist daher weniger ein Gerätefehler als eine Verschiebung der Sicherheitsgrenze: Sie umfasst zunehmend die Systeme rund um die Hardware, und Angreifer benötigen oft nur eine einzige vertrauenswürdig wirkende Nachricht, um durchzudringen.

Quelle: Cryptopolitan