Der Hardware-Wallet-Hersteller Trezor hat vor wenigen Minuten ein Datenleck bei seinem Logistikpartner ShipMonk bekanntgegeben. Betroffen sind Kunden in sieben Ländern, deren Bestellungen zwischen dem 10. Mai und dem 8. August 2026 ausgeliefert wurden.

ShipMonk informierte Trezor am 10. August über einen unbefugten Zugriff auf Systeme, in denen Kundendaten gespeichert waren. Zwei Tage später begann Trezor nach eigenen Angaben damit, betroffene Nutzer direkt zu benachrichtigen.

Namen, Telefonnummern und Lieferadressen offengelegt

Bei 11.742 Kunden wurden vollständige Datensätze mit Namen, E-Mail-Adresse, Telefonnummer und Lieferanschrift offengelegt. Weitere 1.947 Kunden sind teilweise betroffen. Bei ihnen umfassen die zugänglichen Informationen laut Trezor Namen, Wohnort und E-Mail-Adresse.

Tipp der Redaktion: Jahressteuergesetz ohne Abschaffung der Krypto-Haltefrist: Klingbeil bleiben diese drei Wege

Damit sind insgesamt 13.689 Kunden betroffen. Die Bestellungen gingen in die USA, nach Großbritannien, Schweden, Kolumbien, Brasilien, Italien und Portugal.

Trezor selbst sei nicht kompromittiert worden. Auch private Schlüssel, Wallet-Backups oder Daten auf den Hardware-Geräten gehörten demnach nicht zu den abgeflossenen Informationen. Der Vorfall betrifft vielmehr jene Daten, die ShipMonk zur Abwicklung und Zustellung physischer Bestellungen benötigt.

Tipp der Redaktion: Jahressteuergesetz ohne Abschaffung der Krypto-Haltefrist: Klingbeil bleiben diese drei Wege

Dass der Umfang begrenzt blieb, führt Trezor auf seine Speicherfrist von 90 Tagen zurück. Auch Logistikpartner müssen Bestelldaten nach diesem Zeitraum löschen oder anonymisieren. Ältere Bestellungen waren deshalb nicht mehr in den betroffenen Systemen gespeichert.

Für Trezor ist der Vorfall dennoch ungewöhnlich. Seit der Gründung des Unternehmens im Jahr 2013 seien bislang bei keinem vergleichbaren Sicherheitsereignis Telefonnummern und Lieferadressen von Kunden offengelegt worden.

Phishing wird zum eigentlichen Risiko

Das unmittelbare Risiko liegt nun weniger bei den Wallets selbst als bei möglichen Folgeangriffen. Mit einer Kombination aus Name, Telefonnummer, E-Mail-Adresse und physischer Anschrift können Betrüger deutlich glaubwürdigere Nachrichten erstellen.

Denkbar sind gefälschte E-Mails, Telefonanrufe oder Briefe, bei denen sich Angreifer als Trezor, Kryptobörse oder Bank ausgeben. Besonders kritisch wären Versuche, Nutzer zur Herausgabe ihres Wallet-Backups oder zur Eingabe der Seed Phrase auf einer Website zu bewegen.

Trezor hat alle identifizierten Betroffenen per E-Mail von der Adresse help@trezor.io informiert. Wer keine entsprechende Nachricht erhalten hat, soll laut Unternehmen nicht Teil des betroffenen Datensatzes sein.

Parallel arbeitet Trezor mit ShipMonk an der Untersuchung des Vorfalls. Der Logistikdienstleister habe die betroffenen Systeme abgesichert und zusätzliche Sicherheitsmaßnahmen umgesetzt.

Lesetipp: IOTA: Reale Nutzung wächst mit 24 Behörden und 600 Institutionen im Praxiseinsatz

Trezor plant zudem eine stärker auf Datenschutz ausgerichtete Versandoption mit Abholung an Schließfächern, neutraler Verpackung und automatischer Löschung bestimmter Versanddaten. Der Start ist in der EU für September 2026 vorgesehen, in den USA bis Ende des Jahres.