Trezor-Datenleck trifft 14.000 Anleger: Wallets bleiben sicher

Der Markt für die sicherste Aufbewahrung von Kryptowerten steht erheblich unter Druck. Ein Datenleck beim Hardware-Wallet-Hersteller Trezor hat personenbezogene Daten von fast 14.000 Kunden offengelegt. In diesem Segment kommt es immer wieder zu Pannen, doch selten in so kurzer Folge wie derzeit.

Datenleck liegt beim Versanddienstleister

Die Schwachstelle lag nicht bei Trezor selbst, sondern beim Versanddienstleister ShipMonk. Das Unternehmen meldete am Montag, dass sich eine unbefugte Partei Zugriff auf Bestelldaten verschafft hatte, wie Trezor am Donnerstag mitteilte.

Bei 11.742 Kunden wurden Name, E-Mail-Adresse, Telefonnummer und Lieferadresse offengelegt. Bei weiteren 1.947 Personen geht es um Name, Wohnort und E-Mail-Adresse.

Betroffen sind Sendungen, die zwischen dem 10. Mai und dem 8. August in sieben Ländern zugestellt wurden, darunter die USA, Schweden und Italien.

Wichtig ist: Die Geräte selbst wurden nicht kompromittiert. Auch die Private Keys, also die geheimen Zugangscodes zu den Coins, sind nicht abgeflossen.

Der Schaden ist dennoch beträchtlich. Hacker können herausfinden, wer eine Trezor-Wallet besitzt, und die Betroffenen gezielt ansprechen.

Ihr Ziel ist dabei stets, an die Wiederherstellungsphrase zu gelangen. Diese Wortfolge dient als Ersatzschlüssel, mit dem sich von einem anderen Gerät aus Zugriff auf die Coins erlangen lässt. Trezor wird niemals danach fragen.

Cold Storage gerät unter Druck

Es ist innerhalb von zwei Wochen der zweite Rückschlag für Cold Storage, also die Offline-Verwahrung privater Schlüssel. Am 30. Juli erbeuteten Angreifer zudem mutmaßlich 1.816 Bitcoin (BTC) von mehr als 5.000 Coldcard-Adressen.

Ein Fehler in der Firmware aus dem März 2021 führte dazu, dass die Geräte vorhersagbare Schlüssel erzeugten. Angreifer konnten sie berechnen, ohne jemals ein Gerät in die Hand zu bekommen.

Das Blockchain-Analysehaus TRM Labs zog daraus eine klare Schlussfolgerung. „Der Fall zeigt, dass Selbstverwahrung Risiken nicht beseitigt, sondern verlagert“, schrieb TRM Labs.

Beim Wettbewerber Ledger waren im Januar Kundendaten beim Zahlungsdienstleister Global-e abgeflossen. Nach einem früheren Ledger-Leck im Jahr 2020 erhielten Betroffene sogar gefälschte Geräte nach Hause geschickt.

Auch Trezor hatte 2022 und Anfang 2024 bereits Datenlecks. Telefonnummern und Wohnadressen waren in der dreizehnjährigen Geschichte des Unternehmens jedoch noch nie zuvor offengelegt worden.

Die Alternative besteht darin, die Coins bei einer Kryptobörse liegen zu lassen. Dann hält man sie nicht selbst, sondern hat lediglich eine Forderung gegenüber einem Unternehmen, das insolvent werden oder gehackt werden kann.

Eine neuere Möglichkeit ist der Kauf von Krypto-ETFs. Das gilt als sehr sichere und einfache Variante, um über eine regulierte Börse ein Engagement aufzubauen. Doch auch dabei geht eine zentrale Eigenschaft von Krypto verloren: selbst über die eigenen Coins zu verfügen.

Wohnadresse macht Besitzer zur Zielscheibe

Genau das macht dieses Datenleck gefährlicher als frühere Vorfälle. Kriminelle suchen Kryptobesitzer immer häufiger im realen Leben auf.

„Kriminelle haben erkannt, dass Kryptobesitzer attraktive Ziele sind, weil ihr Vermögen unmittelbar und unumkehrbar übertragen werden kann“, erklärte das Blockchain-Datenunternehmen Chainalysis.

Von den 46 in diesem Jahr erfassten gewaltsamen Angriffen auf Krypto-Investoren entfiel mehr als die Hälfte auf Entführungen. In gut einem Drittel der Fälle ging es um Einbrüche in Wohnungen oder Häuser.

Trezor zufolge ist bislang kein Fall von Missbrauch bekannt. Das Unternehmen arbeitet nun an einer anonymisierten Zustellung, bei der eine Bestellung nicht mehr mit einer Wohnadresse verknüpft wird. Diese Option soll im September in der EU verfügbar sein.