Die Wallets und privaten Schlüssel von Trezor wurden nicht offengelegt, aber die Angreifer nutzten einen Drittanbieter-E-Mail-Provider aus.
Die Betrugsdomain wurde abgeschaltet, und Ermittler prüfen, wie Angreifer auf eine legitime Sendeadresse zugreifen konnten.
Trezor hat bestätigt, dass ein von ihm genutzter E-Mail-Dienstanbieter eines Drittanbieters kompromittiert wurde. Dadurch konnten Angreifer Phishing-E-Mails direkt von der eigenen legitimen Domain des Unternehmens versenden. Die betrügerische E-Mail trug die Betreffzeile „Critical Security Alert: STM32 Entropy Vulnerability“ (Wichtiger Sicherheitsalarm: STM32-Entropie-Schwachstelle) und sollte Empfänger davon überzeugen, dass ihre Hardware-Wallets kompromittiert seien, und dass sofortiges Handeln erforderlich ist.
Trezor war eindeutig: Die E-Mail ist gefälscht. Der Vorfall gefährdete keine Wallets oder privaten Schlüssel und führte zur sofortigen Abschaltung der Domain. Eine Untersuchung läuft darüber, wie Angreifer Zugriff auf eine legitime Trezor-Sendeadresse erlangten. Gerade dieses Detail macht diesen Angriff gefährlicher als einen typischen Betrugsversuch. Wenn eine Phishing-E-Mail von einer echten Unternehmensdomain eintrifft, versagen herkömmliche Erkennungsmethoden oft.
Drei Ausfälle von Anbietern innerhalb von vier Wochen
Im August erlitt der Versanddienstleister ShipMonk eine Sicherheitsverletzung, bei der personenbezogene Daten von 80.689 Trezor-Kunden offengelegt wurden. Dazu gehörten Namen, E-Mail-Adressen, Telefonnummern und Wohnadressen. Trezor warnte damals, dass die geleakten Informationen für ausgefeiltere Folgeangriffe genutzt werden könnten. Diese Warnung hat sich nun bewahrheitet.
Zuvor legte das Support-Portal von Trezor Daten für ungefähr 66.000 Nutzer offen. Trezor hat diese drei Vorfälle nicht öffentlich miteinander verknüpft, aber die Reihenfolge ergibt sich. Insbesondere deuten die Datenschutzverletzung im Support-Portal, die Datenschutzverletzung bei einem Versandpartner und die Datenschutzverletzung bei einem E-Mail-Anbieter darauf hin, dass der Fokus darauf liegt, die Peripherie-Infrastruktur von Trezor anzugreifen, statt die Wallets selbst.
Außerdem gehen die Angreifer über die Zulieferer, die Logistikpartner und die E-Mail-Anbieter. Die Teile der Kette, die den echten Zugriff und die echten Daten tragen, werden oft mit weniger Prüfung betrieben.
Was Trezor-Nutzer tun müssen
Klicken Sie keine Links in unerwarteten Trezor-E-Mails, insbesondere keine, die auf STM32 oder Entropie-Schwachstellen verweisen. Geben Sie niemals eine Wiederherstellungsphrase oder einen Gerätecode in irgendeiner Website ein, die über einen E-Mail-Link erreicht wurde. Behandeln Sie unerwartete Telefonanrufe oder physische Briefe, die angeblich von Trezor stammen, als feindselig, bis sie unabhängig verifiziert wurden.
Für offizielle Mitteilungen gehen Sie direkt zu trezor.io oder zum verifizierten Account von Trezor auf X. Wer eine Backup-Phrase auf einer verlinkten Seite eingegeben hat, sollte die Gelder sofort auf eine neue Wallet übertragen.
Darüber hinaus hat Trezor drei wichtige Details privat gehalten: den Namen des betroffenen E-Mail-Anbieters, die Anzahl der Kunden, die die betrügerische Nachricht erhielten, und ob jemand auf Kundendaten zugegriffen hat.