Trezor-Datenpanne betrifft nun 81.000 Kunden

Der Hersteller von Kryptowährungs-Hardware-Wallets Trezor hat bestätigt, dass das Ausmaß einer Datenpanne im Zusammenhang mit seinem Versand- und Logistikdienstleister ShipMonk weit größer ist als ursprünglich gemeldet. Was im August als eine Offenlegung begann, die etwa 14.000 Kunden betraf, ist nun auf 81.000 angewachsen, nachdem Trezor weitere 67.000 betroffene US-Kunden im Zusammenhang mit demselben Vorfall identifiziert hat.

Die Panne entstand nicht in Trezors eigenen Systemen. Stattdessen geht sie auf ShipMonk zurück, das Drittunternehmen, das Trezor für Auftragsabwicklung und Versand nutzt. Da ShipMonk Kundenbestellungen verarbeitet, verfügt es auch über persönliche Daten, die mit diesen Käufen verbunden sind. Deshalb kann eine Kompromittierung des Logistikdienstleisters Trezor-Kunden gefährden, obwohl Trezors zentrale Sicherheitsinfrastruktur nie berührt wurde.

Von 14.000 auf 81.000: Wie die Zahlen wuchsen

Trezor gab die Panne erstmals am 13. August bekannt und teilte Kunden mit, dass Angreifer auf Daten von fast 14.000 Menschen zugegriffen hatten. Diese anfängliche Zahl war bereits die dritte oder vierte Korrektur in einer Reihe verwandter Updates, nach früheren Berichten über einen ShipMonk-Hack, der 13.689 Käufer gefährdete und einer separaten Offenlegung, die die Zahl auf knapp über 13.000 bezifferte.

Das neueste Update markiert den bisher größten Sprung. Trezor gibt an, dass weitere 67.000 US-Kunden betroffen waren, womit sich die bestätigte Gesamtzahl auf 81.000 beläuft. Das ist eine fast sechsfache Steigerung gegenüber der ursprünglichen Schätzung bei der ersten Bekanntgabe der Panne. Dieses Muster – einer anfänglichen Offenlegung folgen wiederholte Aufwärtskorrekturen – ist bei Vorfällen mit Drittanbietern üblich, da das betroffene Unternehmen oft selbst auf seinen eigenen Systemen ermittelt, während sein Partner eine separate, manchmal langsamere Überprüfung dessen durchführt, worauf genau zugegriffen wurde.

Wie in der früheren Phase dieser Panne, bei der Privatadressen von fast 14.000 Kunden offengelegt wurden, stehen die betroffenen Daten im Zusammenhang mit der Auftragsabwicklung und nicht mit Trezors Wallet-Software oder privaten Schlüsseln. Diese Unterscheidung ist wichtig: Es gibt keine Hinweise darauf, dass Kryptowährungsbestände, Wallet-Seeds oder Geräte-Firmware kompromittiert wurden. Die Offenlegung betrifft persönliche Informationen, die Kunden bei der Bestellung angegeben haben – die Art von Daten, die ein Versandunternehmen benötigt, um ein Paket zuzustellen.

Was das für Sie bedeutet

Wenn Sie jemals ein Trezor-Gerät bestellt haben, sollte diese erweiterte Offenlegung ernst genommen werden, selbst wenn Sie nicht zu den ursprünglich im August benachrichtigten 14.000 Kunden gehörten. Da die neu identifizierten 67.000 Kunden speziell aus den USA stammen, sollten alle Personen in den Vereinigten Staaten, die ein Trezor-Produkt gekauft haben, davon ausgehen, dass sie zu dieser größeren Gruppe gehören könnten, bis sie eine direkte Bestätigung erhalten – in welche Richtung auch immer.

Das praktische Risiko dieser Art von Panne liegt nicht darin, dass jemand eine Kryptowährungs-Wallet aus der Ferne leeren kann. Trezor-Geräte sind so gebaut, dass private Schlüssel die Hardware selbst nie verlassen, und eine Versanddatenpanne ändert daran nichts. Das eigentliche Risiko ist indirekter: Angreifer, die Namen, Versandadressen und Bestelldaten im Zusammenhang mit Hardware-Wallet-Käufen erhalten, haben nun eine Liste von Personen, von denen bekannt ist, dass sie Kryptowährungen besitzen – und oft auch deren physische Adressen. Diese Kombination ist wertvoll für Betrüger, die Phishing-Kampagnen oder gefälschte Support-Anfragen durchführen, oder in selteneren Fällen für gezielte physische Straftaten gegen Krypto-Besitzer.

Da diese Panne seit ihrer ersten Bekanntgabe mehrfach aktualisiert wurde, sollten Kunden nicht davon ausgehen, dass die aktuelle Zahl von 81.000 endgültig ist. Unternehmen, die Vorfälle mit Drittanbietern untersuchen, geben häufig weitere Updates heraus, während die Untersuchung des Anbieters fortläuft.

Umsetzbare Maßnahmen

Wenn Sie ein Trezor-Gerät gekauft haben, insbesondere im vergangenen Jahr, gibt es einige Schritte, die Sie jetzt unternehmen sollten. Erstens: Achten Sie auf offizielle Mitteilungen direkt von Trezor, die bestätigen, ob Ihr Konto zur betroffenen Gruppe gehört, und behandeln Sie unaufgefordert erhaltene E-Mails oder Anrufe, die vorgeben, vom Trezor-Support zu sein, mit erhöhter Skepsis, da Daten aus Pannen oft genutzt werden, um Phishing-Versuche glaubwürdiger wirken zu lassen. Zweitens: Teilen Sie niemals Ihre Wallet-Wiederherstellungsphrase oder Seed-Wörter mit irgendjemandem, auch nicht mit Personen, die behaupten, den Trezor-Support zu vertreten; legitime Support-Mitarbeiter werden niemals nach diesen Informationen fragen. Drittens: Wenn Ihre Privatadresse offengelegt wurde, bedenken Sie, dass diese Information, die Sie mit dem Besitz von Kryptowährungen in Verbindung bringt, nun möglicherweise im Umlauf ist, und bleiben Sie wachsam bei ungewöhnlicher Post, Anrufen oder persönlichen Kontakten, die sich auf Ihren Kauf beziehen. Schließlich: Behalten Sie zukünftige Updates zu diesem Vorfall im Auge, da die bisherigen wiederholten Korrekturen darauf hindeuten, dass sich der endgültige Umfang noch ändern könnte.

Trezors zentrale Wallet-Sicherheit bleibt von dieser Panne unberührt, aber die Offenlegung persönlicher Versanddaten in diesem Ausmaß ist eine Erinnerung daran, dass selbst datenschutzorientierte Hardware-Produkte von Drittanbietern abhängen, die möglicherweise nicht denselben Sicherheitsstandard erfüllen.