Schwerer Datenschutzvorfall bei Trezor: Bei einem Einbruch in die Systeme des Versanddienstleisters ShipMonk wurden die Bestelldaten von insgesamt 13.689 Hardware-Wallet-Kunden offengelegt. Trezor bestätigte den Vorfall am Donnerstag in einem ausführlichen X-Beitrag.
Bei 11.742 Kunden gelangten vollständige Namen, E-Mail-Adressen, Telefonnummern und Lieferanschriften nach außen. Weitere 1.947 Betroffene müssen mit der Offenlegung von Name, Wohnort und E-Mail-Adresse rechnen. Betroffen sind Kunden aus den USA, Großbritannien, Schweden, Kolumbien, Brasilien, Italien und Portugal, deren Bestellung innerhalb der 90 Tage vor dem 8. August 2026 ausgeliefert wurde.
Trezor betont, dass die eigenen Systeme, die Geräte und die Wallet-Backups nicht kompromittiert worden seien. Das ist wichtig, aber keineswegs Entwarnung. Eine Liste aus Namen, Telefonnummern und Wohnadressen von Menschen, die ausdrücklich ein Gerät zur Aufbewahrung von Kryptowährungen gekauft haben, ist für Kriminelle besonders wertvoll. Sie verbindet eine konkrete Person und Wohnung mit der Vermutung, dort könnten größere Bitcoin-Bestände gesichert sein.
Die unmittelbare Gefahr sind täuschend echte Phishing-Mails, Anrufe, SMS und Briefe. Täter können sich auf eine tatsächliche Bestellung beziehen und dadurch glaubwürdiger auftreten. Trezor warnt deshalb eindringlich davor, das Wallet-Backup beziehungsweise die Seed-Wörter auf einer Internetseite einzugeben oder an andere Personen weiterzugeben. Betroffene Kunden seien per E-Mail informiert worden.
Der Vorfall zeigt, dass die Sicherheit einer Hardware-Wallet nicht am Gerät endet. Trezor kann seine Wallet technisch absichern und trotzdem entsteht über Versand, Support und Kundendaten eine zweite Angriffsfläche. Gerade erst hatte F-NEWS über die Coldcard-Panne mit schwachen Zufallszahlen berichtet. Dort war die Wallet-Technik selbst betroffen. Bei Trezor blieb sie nach bisherigem Stand intakt, doch dafür verrät die Lieferkette, wer vermutlich eine Wallet besitzt und wo diese Person wohnt.
Trezor verweist auf seine 90-Tage-Regel: Bestelldaten sollen nach der Auslieferung gelöscht oder anonymisiert werden. Diese Vorgabe habe das Ausmaß des Leaks begrenzt. Der Hersteller kündigte außerdem an, an einer anonymen Liefermöglichkeit zu arbeiten. Sie soll in der EU bis September und in den USA bis Ende 2026 verfügbar sein. Kunden sollen dann bestellen können, ohne den Kauf dauerhaft mit ihrer Wohnadresse zu verknüpfen.
Für Betroffene gilt jetzt: Keine Links aus überraschenden Trezor-Nachrichten öffnen, keine Seed-Wörter weitergeben, nur offizielle Kanäle verwenden und unerwartete Lieferungen oder angebliche Sicherheitsprüfungen misstrauisch behandeln. Auch physische Phishing-Briefe mit QR-Codes sind im Hardware-Wallet-Bereich bereits aufgetaucht. Wer größere Bestände hält, sollte zudem vermeiden, öffentlich einen Zusammenhang zwischen Identität, Wohnort und Vermögen herzustellen.
Selbstverwahrung bleibt ein wichtiger Schutz vor Börsenpleiten, Kontosperren und fremdem Zugriff. Sie verlangt aber mehr als ein Gerät in der Schublade. F-NEWS hat auch die langfristige Gefahr für alte Bitcoin-Wallets durch Quantencomputer beleuchtet. Der neue Trezor-Fall erinnert an eine viel unmittelbarere Schwachstelle: Ein Hardware-Wallet kann offline sein, während die Adresse seines Besitzers längst online kursiert.
— Trezor (@Trezor) August 13, 2026
