Der Datenvorfall rund um Trezor ist größer als bislang bekannt. Betroffen sind nun auch Kunden, deren Hardware-Wallet-Bestellungen mehrere Jahre zurückliegen. Dies gab Trezor auf X vor weniger als einer Stunde bekannt.
Two days ago, we received an update from our shipping provider, ShipMonk. We're deeply saddened to share the news that the recent data breach affects more customers than originally thought.
Another 67,000 customers from the US who ordered between November 2019 and August 2021… https://t.co/yDQvTlAA2S
— Trezor (@Trezor) September 4, 2026
ShipMonk speicherte Kundendaten offenbar deutlich länger als vorgesehen
Nach Angaben von Trezor betrifft der zusätzliche Datensatz rund 67.000 Kunden in den USA, die zwischen November 2019 und August 2021 Hardware Wallets bestellt hatten. Die Informationen lagen beim damaligen Versandpartner ShipMonk und umfassen Namen, E-Mail-Adressen, Telefonnummern, Lieferadressen sowie Details zu den jeweiligen Bestellungen.
Tipp der Redaktion: CLARITY Act vor Midterms kaum noch möglich: House kürzt Sitzungsplan
Damit weitet sich der im August 2026 bekannt gewordene Vorfall erheblich aus. Zunächst war von rund 13.700 betroffenen Kunden weltweit die Rede, deren Daten im Zusammenhang mit jüngeren Bestellungen offengelegt worden waren.
Für Trezor ist vor allem ein Punkt heikel. Das Unternehmen erklärte, ShipMonk habe die älteren Kundendaten entgegen früherer Zusagen nicht gelöscht. Gerade bei Hardware Wallets ist diese Art von Information sensibel, auch wenn keine Private Keys oder Wallet-Zugangsdaten betroffen sind.
Eine Lieferadresse zusammen mit dem Wissen, dass dort ein Krypto-Nutzer Hardware für die Verwahrung digitaler Vermögenswerte bestellt hat, kann für gezielte Betrugsversuche ausreichen.
Trezor äußerte deutliche Kritik am Umgang seines früheren Logistikpartners mit den gespeicherten Daten.
Physische Lieferdaten werden zum Sicherheitsproblem der Krypto-Branche
Das Risiko liegt nun vor allem bei Phishing, Social Engineering und anderen gezielten Betrugsversuchen. Angreifer könnten die kompromittierten Kontaktdaten nutzen, um sich glaubwürdig als Trezor, ein Versanddienstleister oder ein Support-Mitarbeiter auszugeben.
Das Unternehmen fordert betroffene Nutzer deshalb zu erhöhter Wachsamkeit auf. Insbesondere unerwartete Nachrichten mit Aufforderungen zur Eingabe einer Seed Phrase, zur Wiederherstellung einer Wallet oder zum Anklicken von Links sollten misstrauisch machen. Ein seriöser Wallet-Anbieter benötigt die Recovery Seed eines Kunden nicht.
Der Fall rückt zugleich ein schon länger bestehendes Problem von Hardware-Wallets in den Vordergrund. Selbst wenn die Geräte selbst keine Kundendaten speichern und die kryptografischen Schlüssel sicher bleiben, entstehen beim Kauf klassische E-Commerce-Datensätze. Diese liegen häufig bei externen Logistik- und Fulfillment-Anbietern.
Trezor spricht sich inzwischen für Liefermodelle aus, die weniger personenbezogene Daten benötigen, darunter anonyme oder stärker datenschutzorientierte Zustelloptionen.
Zuletzt wurden beim Hersteller Coldcard aus Kanada mehrere Tausend Bitcoin im Wert von über 100 Millionen USD gestohlen. Darüber hinaus gab es auch Vorfälle gestohlener Daten beim europäischen Marktführer Ledger – wir berichteten.
