Trezor: 13.000 Kunden durch eine Sicherheitslücke bei seinem Logistikdienstleister gefährdet

Der Hardware-Wallet-Hersteller Trezor bestätigt, dass die Daten von 13.000 europäischen Kunden – Namen, Adressen, E-Mails – aufgrund einer Sicherheitslücke bei seinem Logistikdienstleister offengelegt wurden. Die Hardware-Supply-Chain schlägt erneut zu.

Kontext

Trezor, Hersteller von Hardware-Wallets (physische Kryptowährungs-Wallets), bestätigt eine Datenpanne, die 13.000 europäische Kunden betrifft. Die exponierten Daten umfassen Namen, Adressen und E-Mails. Die Ursache der Panne: nicht Trezor selbst, sondern sein Logistikdienstleister – ein Drittanbieter in der Lieferkette.

Daten

• 13.000 betroffene Kunden (Europa)
• Exponierte Daten: Namen, Adressen, E-Mails
• Vektor: Drittanbieter-Logistikdienstleister (nicht Trezor direkt)
• Quelle: The Register

Analyse

Die Formulierung von The Register fasst die Lehre perfekt zusammen: "Even if your hardware is secure, quantum-ready, encrypted, and future-proof, no one is immune to a supplier letting the side down."

Das ist das Paradoxon des Hardware-Wallets: Man kauft ein Gerät genau wegen seiner maximalen Sicherheit – Isolierung der Schlüssel, Widerstandsfähigkeit gegen Netzwerkangriffe, überprüfbares Firmware – und ausgerechnet der Transporteur gibt die Kundenadressen preis. Die Bedrohung war nicht kryptografisch: Sie war logistisch.

Dieses Muster ist in unserer Beobachtung der Hardware-Lieferkette mittlerweile gut dokumentiert. Das schwächste Glied ist nicht das Produkt, sondern der Drittanbieter – Logistik, Kundendienst, Händler – der Kundendaten ohne dieselben Sicherheitsstandards verarbeitet.

Konkrete Gefahr für die 13.000 Betroffenen: gezieltes Phishing. Ein Angreifer, der Ihre Postadresse UND weiß, dass Sie ein Krypto-Hardware-Wallet besitzen, weiß, dass Sie wahrscheinlich digitale Vermögenswerte besitzen, die er ins Visier nehmen kann. Phishing-E-Mails, die Trezor vortäuschen, werden folgen.

Was Sie tun sollten, wenn Sie Trezor-Kunde sind

• Maximale Vorsicht bei jeder E-Mail oder jedem Brief, der angeblich von Trezor stammt
• Geben Sie niemals Ihre Seed-Phrase (24 Wörter) auf einem anderen Gerät als Ihrem physischen Trezor ein
• Aktivieren Sie die Passphrase (25. Wort) auf Ihrem Trezor, falls noch nicht geschehen – zusätzlicher Schutz, selbst wenn das Gerät gestohlen wird