Trezor-Phishing zeigt, dass Angreifer das Gerät überspringen und die menschliche Vertrauensschicht angreifen können

Trezor warnte Nutzer am Mittwoch, den 9. September 2026, über Hacker, die ihren Drittanbieter-E-Mail-Provider ausnutzten, um eine gefälschte Sicherheitsmitteilung zu verbreiten. Die Trezor-Wallet war jedoch nicht von dem Angriff betroffen. Die Kriminellen zielten auf etwas ab, das noch schwerer zu schützen ist als ein Stück Software: das Vertrauen eines Nutzers in eine E-Mail eines vertrauenswürdigen Anbieters.

Der Betreff der Warnung lautete wie folgt: „Kritische Sicherheitswarnung: STM32-Entropie-Schwachstelle“. Die Nachricht enthielt die Aussage, dass Trezor-Ingenieure einen Konstruktionsfehler in STM32-Chips entdeckt hätten, die in ihren Produkten verwendet werden. Decrypt berichtete, dass Trezor die Nachricht als falsch erkannte und die Leser warnte, nicht auf die Links zu klicken.

Ein falscher Fehler, gesendet von einer echten Adresse

Was die Kampagne effektiv machte, war nicht die erfundene Schwachstelle, sondern die Art und Weise, wie die E-Mail empfangen wurde. Ein Empfänger enthüllte, dass die E-Mail von [email protected] stammte, dem Sendinblue-Kampagnenpfad folgte und die DKIM-, SPF- und DMARC-Prüfungen bestand.

Die Warnung gab an, dass eines von vier Geräten kompromittiert werden kann und dass Wiederherstellungsphrasen möglicherweise nicht über genügend Zufälligkeit oder Entropie verfügen. Diese Sprache ähnelte stark den Problemen, die im jüngsten Coldcard-Angriff beschrieben wurden.

Trezor berichtete, dass es die für den Versand der Warnungen verwendete Domain stoppte und zu untersuchen begann, wie die Betrüger es geschafft hatten, seine legitime Sendestruktur zu nutzen. Die öffentliche Warnung des Unternehmens wurde am 9. September um 16:30 Uhr Eastern Time veröffentlicht, nur wenige Stunden, nachdem Nutzer begannen, Bedenken bezüglich der E-Mails zu äußern.

Der Datenbruch könnte über Trezor hinausreichen

Laut Nick Neuman, Mitbegründer und CEO von Casa, scheint sich unter Nutzern von BitBox ein ähnlicher Trend abzuzeichnen, und es könnte sein, dass ein gemeinsamer Marketing-E-Mail-Anbieter kompromittiert wurde.

Das ist das größere Problem. Wallet-Hersteller können ihre Geräte sicherer machen, aber ihre Marke kann dennoch durch Mittel gestohlen werden, die sie nicht vollständig kontrollieren, von E-Mail-Dienstanbietern über Versandunternehmen bis hin zu Zahlungsabwicklern.

Datenbrüche sind keine Geräte-Exploits

In einem früheren Bericht von Cryptopolitan wurde enthüllt, dass Phishing-Versuche gegen Ledger-Nutzer auch den physischen Postweg gefunden haben. Es ist jedoch anzumerken, dass diese Fälle anders sind als Geräte-Exploits, da ein Datenbruch Identitäts- und Kontaktinformationen kompromittiert, während ein Geräte-Exploit auch finanzielle Vermögenswerte gefährden kann.

Die Angriffe auf Hardware-Wallets im Jahr 2026 machen diese Unterscheidung deutlich. SafePal gab zu, dass es einen Autorisierungsfehler in einem seiner Bestellverfolgungs-Plugins gab, der zur Offenlegung von Daten von etwa 39.798 Kunden führte, und dass Seed-Phrasen, private Schlüssel und Wallet-Anmeldeinformationen dieser Kunden nicht kompromittiert wurden.

Trezors ShipMonk-Datenleck erhöhte die Anzahl der betroffenen Kunden schließlich auf 80.689, nachdem das Unternehmen erfuhr, dass alte US-Bestellaufzeichnungen aus den Jahren 2019 bis 2021 ebenfalls gespeichert und offengelegt wurden. Ähnlich sah man im Januar beim Global-e-Vorfall von Ledger die Offenlegung der Bestell- und Kontaktinformationen seiner Kunden, wobei die genaue Anzahl der Kunden nicht bekannt gegeben wurde.

In seinem Vergleich im August kategorisierte Memeburn Ledger, Trezor und SafePal korrekt als „Datenbrüche“, während es Coldcard als „Geräte-Exploit“ identifizierte. Die von Memeburn in Bezug auf Trezor angegebene Zahl von 13.689 stammt jedoch aus der Zeit vor dem Update von Trezor am 4. September.

Coldcard hebt sich vom Rest ab. Laut Galaxy Research bestätigte es am 14. August 190 direkte Opfer sowie mehr als 86.000 betroffene Adressen und mindestens 112,7 Millionen US-Dollar an gestohlenen 1.778,84 BTC aufgrund von Schwachstellen in der Firmware. Andere Schätzungen gingen von einem möglichen Verlust in Höhe von fast 130 Millionen US-Dollar aus.

Geleakte Kontextdaten speisen industrialisiertes Phishing

Die Gefahr bei einer geleakten Versandliste liegt in dem, was als Nächstes passiert. Chainalysis schätzte, dass Krypto-Betrug und Betrug im Jahr 2025 17 Milliarden US-Dollar stahlen, während Identitätsbetrug im Jahresvergleich um mehr als 1.400 % wuchs. Es stellte auch fest, dass Betrugsfälle mit On-Chain-Verbindungen zu KI-Anbietern 4,5-mal mehr Umsatz pro Operation generierten als solche ohne solche Verbindungen.

Ein Kaufaufzeichnung einer Hardware-Wallet kann daher zu einer Zielfile werden. Ein Name, gepaart mit einer E-Mail-Adresse, Telefonnummer, Hausadresse und der Bestätigung, dass jemand ein Krypto-Sicherheitsgerät besitzt, gibt Kriminellen den Kontext, um überzeugende E-Mails, Anrufe, Briefe oder sogar physische Annäherungen zu verfassen.

Die Lektion aus dem neuesten Vorfall von Trezor ist nicht, dass Hardware-Wallets versagt haben. Es ist, dass der Sicherheitsperimeter nun die Systeme um sie herum einschließt, und Angreifer zunehmend nur eine vertrauenswürdig aussehende Nachricht benötigen, um einzudringen.