Eine Kaskade von Sicherheitsvorfällen bei Drittanbieter-Dienstleistern hat Zehntausende von Kunden hardwarebasierter Krypto-Wallets Phishing, Betrügeranrufen und sogar physischer Post exploitation ausgesetzt.
TrezoVersandpartner ShipMonk erlitt im August 2026 einen Sicherheitsvorfall, der zunächst Namen, E-Mail-Adressen, Telefonnummern und Versandadressen von fast 3.889 Kunden offenlegte. Ein Update vom 4. September enthüllte, dass weitere rund 67.000 US-Kunden betroffen waren – deren Daten Bestellungen zwischen November 2019 und August 2021 betrafen. SatoshiLabs, Trezors Muttergesellschaft, bestätigte, wiederholt schriftliche Bestätigungen von ShipMonk erhalten zu haben, dass Kundendaten gelöscht worden seien – was jedoch nicht der Fall war.
Am 9. September folgte ein zweiter Vorfall, der noch näher am Kern traf: Trezors E-Mail-Anbieter wurde kompromittiert, und Angreifer nutzten das legitime Absenderdomain, um Phishing-E-Mails zu verbreiten, die als kritische Sicherheitswarnung vor einer "STM32-Entropie-Schwachstelle" getarnt waren. Die Falle ist glaubwürdig, da STM32 die Mikrocontroller-Familie innerhalb von Trezor-Geräten ist und Entropie die Zufälligkeit beschreibt, die zur Generierung von Wiederherstellungssätzen verwendet wird.
Der Schweizer Hardware-Wallet-Hersteller BitBox meldete separat, dass sein Newsletter-Anbieter am selben Tag wahrscheinlich ebenfalls kompromittiert wurde und Phishing-E-Mails an seine Abonnenten verschickt wurden. BitBox teilte mit, dass mehrere Bitcoin-Unternehmen, die denselben Anbieter nutzen, offenbar ebenfalls angegriffen wurden.
"Dies ist das erste Mal seit der Gründung von Trezor im Jahr 2013, dass wir einen Sicherheitsvorfall erlebt haben, der Kundentelefonnummern und Versandadressen preisgegeben hat", räumte SatoshiLabs ein und fügte hinzu, dass Wallets, private Schlüssel und Wiederherstellungsbackups niemals offenlegt wurden.
Die Angriffe beschränken sich nicht auf E-Mails: Reddit-Nutzer berichteten von betrügerischen Anrufen und physischen Briefen mit QR-Codes, die auf Phishing-Websites führen. Die Kombination aus echten Versanddaten mit Phishing-Infrastruktur macht diese Angriffe ungewöhnlich gefährlich, da die Opfer korrespondenz erhalten, die auf echte Bestelldetails Bezug nimmt und seriös aussieht.
Chainalysis hat gewarnt, dass gewaltsame Angriffe auf Krypto-Besitzer im Jahr 2026 zugenommen haben, wobei im ersten Halbjahr allein geschätzt 30 Millionen Dollar durch physische Raubüberfälle extrahiert wurden. Sollte sich der Trend fortsetzen, könnte 2026 den Gesamtwert von 58 Millionen Dollar aus 2025 übersteigen.
Trezor rät Kunden, niemals auf von E-Mails angezeigten Websites Wiederherstellungssätze einzugeben, unerwartete Anrufe und Briefe bis zur Verifizierung als feindselig zu behandeln und für echte Mitteilungen trezor.io oder das verifizierte X-Konto des Unternehmens zu prüfen.
