Datenlecks bei zwei Versandunternehmen erhöhen für Kryptobesitzer, die physische Hardware-Wallets verwenden, das Risiko, ausgeraubt zu werden — nicht online, sondern in der realen Welt.

Trezor und SafePal, zwei der größten Hersteller von Hardware-Wallets, meldeten kürzlich, dass bei getrennten Sicherheitsvorfällen bei ihren Versandpartnern personenbezogene Daten und Versandinformationen von Tausenden Kunden gestohlen wurden. Die offengelegten Datensätze umfassten Namen, Privatadressen, E-Mail-Adressen und Telefonnummern.

Die Hacks gefährdeten die Wallets selbst nicht — es handelt sich um Offline-Geräte, die Krypto vor Internetangriffen schützen sollen. Stattdessen wissen Diebe nun, wo Krypto-Besitzer wohnen. Das öffnet sogenannten Wrench Attacks Tür und Tor: gewaltsame Raubüberfälle, bei denen Angreifer Opfer zwingen, die Seed-Phrase herauszugeben, die ihre Guthaben freischaltet.

Diese physischen Angriffe nehmen zu. Die Blockchain-Sicherheitsfirma CertiK zählte 2025 Dutzende gemeldete Wrench Attacks — ein Anstieg von 75 Prozent gegenüber dem Vorjahr — bei denen Räuber mehr als 40 Millionen Dollar erbeuteten. Die Krypto-Forensikfirma Chainalysis beziffert die Beute dieses Jahres bisher auf nahezu 30 Millionen Dollar; Banden setzen Entführungen und Hausüberfälle ein, um Seed-Phrasen zu erzwingen.

Die Versand-Lecks sind das jüngste Glied einer düsteren Serie für Hardware-Wallets. Anfang dieses Monats stahlen Hacker mehr als 130 Millionen Dollar in Kryptowährung direkt von der Blockchain, indem sie eine Schwachstelle in Coinkites Coldcard-Wallet ausnutzten: Ein Fehler im Code zur Generierung von Seed-Phrasen erlaubte Angreifern, die offline erzeugten Phrasen vorherzusagen und Guthaben abzuziehen, obwohl die Wallets selbst nie mit dem Internet verbunden waren. Ein Opfer schrieb auf X, es habe "alles richtig gemacht", aber "nichts davon half ... nur weil die Hardware, die die Seed-Phrase erzeugte, eine verwundbare Codezeile aus dem Jahr 2021 hatte".

Trezor und SafePal warnten ihre Kunden zudem vor Phishing-Nachrichten, die die geleakten Telefonnummern und E-Mail-Adressen ins Visier nehmen. Eine gestohlene Wallet lässt sich ersetzen, merken Sicherheitsforscher an — eine geleakte Privatadresse jedoch nicht mit einem Firmware-Update beheben.

Quellen