Trezor hat erneut einen Datenleck-Vorfall zugegeben: 14.000 Nutzer-Namen, Telefonnummern und Wohnadressen sind komplett offengelegt worden.

Diesmal wurde nicht Trezors System selbst von Hackern angegriffen, sondern der Logistikdienstleister ShipMonk durch eine SQL-Injection regelrecht „durchbohrt“. Die Angreifer erhielten nicht die privaten Schlüssel, sondern Bestelldaten. Doch genau hier liegt das Problem – „Deine Coins sind sicher, aber wer du bist und wo du wohnst, wissen inzwischen alle im Netz“.

Die Wallet-Marke ist auf dem Versandetikett gedruckt; der Empfänger ist damit gleichbedeutend mit der öffentlich verkündeten Aussage: „Ich bin der Inhaber der Coins“. Zusammen mit Namen, Telefonnummer und Wohnadresse reicht die Genauigkeit aus, damit Phishing-E-Mails, Betrugsanrufe oder sogar Überfälle vor Ort extrem glaubwürdig werden.

Noch bitterer: Es ist der zweite Vorfall in nur zwei Wochen, bei dem die Sicherheit eines Hardware-Wallets betroffen war. Am 30. Juli wurde Coldcard aufgrund einer Schwachstelle angegriffen – dabei wurden über 100 Millionen US-Dollar gestohlen. Hardware-Wallets wurden immer als „absolut sicher“ angepriesen; jetzt zeigt sich: Sie schützen nur deinen privaten Schlüssel – aber nicht dich als Person.

Laut Chainalysis gab es in diesem Jahr bereits 46 Fälle gewaltsamer Angriffe auf Wallet-Inhaber; mehr als die Hälfte davon entfällt auf Entführungen. Das ist keine Panikmache.

Trezor will im September einen anonymen Versand in der EU einführen – doch bevor die Lücke geschlossen wird, sind bereits 14.000 Menschen exponiert worden.

So kalt wie ein Cold Wallet ist, kann es die Risiken der realen Welt nicht kaltlassen. Wer ein Hardware-Wallet kauft, sollte zuerst überlegen, wie er verhindert, dass andere erfahren, dass er es gekauft hat.