Trezor zufolge richtete sich eine Phishing-Kampagne gegen rund 347.000 E-Mail-Adressen von Kunden, nachdem Hacker den externen Marketinganbieter Brevo kompromittiert hatten. Rund 2.500 Empfänger klickten auf den schädlichen Link, bevor das Unternehmen ihn deaktivierte.
Die Angreifer verschickten gefälschte Sicherheitswarnungen von einer legitimen Trezor-E-Mail-Adresse. Darin behaupteten sie, dass eine Hardware-Schwachstelle die Wiederherstellungsphrasen gefährde, mit denen die Kryptowallets der Kunden geschützt werden.
Die Warnung war jedoch gefälscht. Ihr Ziel bestand darin, die Empfänger zum Herunterladen einer schädlichen Anwendung und zur Eingabe ihrer Wallet-Backup-Daten zu bewegen.
Hacker verschickten E-Mails über Brevo
Brevo erlitt am 9. September 2026 einen Sicherheitsvorfall. Laut Trezor verschaffte sich ein unbefugter Akteur Zugang zur Marketingplattform und nutzte mehrere Kundenkonten zum Versand von Phishing-E-Mails.
Von dem Datenleck waren 120 Brevo-Konten betroffen, darunter das für die Newsletter-Kampagnen von Trezor verwendete Konto. Dadurch konnten die Angreifer Nachrichten von einer authentischen E-Mail-Adresse des Unternehmens versenden.
Der Phishing-Angriff auf Trezor richtete sich gegen Personen, die sich für den Empfang von Newslettern angemeldet hatten. Die offengelegte Datenbank enthielt rund 347.000 E-Mail-Adressen.
Trezor sperrte sein Brevo-Konto nach der Entdeckung der Kampagne. Dadurch konnte die Plattform keine weiteren schädlichen E-Mails im Namen des Unternehmens versenden.
Gefälschte Warnung behauptete Sicherheitslücke in Wallets
Die Phishing-E-Mails erschienen als kritische Sicherheitswarnungen. Sie warnten die Empfänger vor einer angeblichen Schwachstelle in den Mikrocontrollern der Trezor-Hardware-Wallets.
Laut der gefälschten Nachricht könnten Angreifer die angebliche Schwachstelle ausnutzen, um Wallet-Wiederherstellungsphrasen mittels Brute-Force-Angriffen zu knacken. Anschließend forderte die E-Mail die Nutzer auf, einem eingebetteten Link zu folgen.
Dieser Link leitete die Opfer auf eine schädliche Domain weiter und forderte sie zum Herunterladen einer Anwendung auf. Die betrügerische Software verlangte anschließend die Eingabe des Wallet-Backups.
Eine Wallet-Wiederherstellungsphrase kann vollständigen Zugriff auf die in einer Wallet gespeicherten Kryptowährungen ermöglichen. Daher besteht für jeden, der diese Informationen eingegeben hat, ein erhebliches Risiko, seine Vermögenswerte zu verlieren.
Die Hardware-Wallets von Trezor selbst wurden nicht kompromittiert. Darüber hinaus erhielten die Angreifer durch diesen Vorfall keinen Zugriff auf die internen Systeme des Unternehmens.
Trezor deaktivierte Link innerhalb von 20 Minuten
Trezor zufolge wurde die schädliche Domain innerhalb von 20 Minuten abgeschaltet. Durch die Deaktivierung der Website konnte der Link keine weiteren Opfer mehr erreichen.
Rund 2.500 Kunden hatten jedoch bereits darauf geklickt. Das Unternehmen teilte nicht mit, wie viele dieser Nutzer die Anwendung heruntergeladen oder ihre Wiederherstellungsphrase eingegeben hatten.
Die Phishing-Kampagne könnte über die ursprüngliche Nachricht hinaus weitere Risiken verursachen. Da die Angreifer Zugriff auf die Newsletter-Datenbank mit E-Mail-Adressen erhielten, könnten sie diese Adressen für zukünftige Betrugsversuche wiederverwenden.
Kunden könnten überzeugende Folge-E-Mails erhalten, die sich auf Trezor oder die Sicherheit von Kryptowährungen beziehen. Nutzer sollten daher unerwartete Warnungen zu ihren Wallets mit Vorsicht behandeln.
Trezor rät seinen Kunden, niemals eine Wiederherstellungsphrase in eine App, auf einer Website oder in einem Onlineformular einzugeben. Das Unternehmen wird diese Informationen nicht per E-Mail anfordern.
Keine anderen Trezor-Systeme betroffen
Trezor zufolge blieb der Vorfall auf das Brevo-Konto für Newsletter beschränkt. Auf keine anderen Systeme des Unternehmens wurde zugegriffen.
Das Datenleck legte weder Wallet-Guthaben noch Wiederherstellungsphrasen oder andere auf Trezor-Geräten gespeicherte Informationen offen. Stattdessen erhielten die Angreifer Zugriff auf E-Mail-Adressen, die für Marketingkommunikation verwendet wurden.
Der Versand von Nachrichten über ein legitimes Unternehmenskonto macht Phishing-Versuche jedoch glaubwürdiger. Normale Authentifizierungsprüfungen können zudem dazu führen, dass solche E-Mails einige Spamfilter umgehen.
Der Phishing-Angriff auf Trezor zeigt, wie Kriminelle einen vertrauenswürdigen Drittanbieter ausnutzen können, um Kunden zu erreichen. Selbst wenn das eigentliche Unternehmen sicher bleibt, kann ein kompromittierter Dienstleister einen effektiven Weg für Betrug schaffen.
Frühere Datenlecks betrafen Trezor-Kunden
Dies ist nicht der erste Vorfall bei einem externen Dienstleister von Trezor. Im Januar 2024 kompromittierten Angreifer ein Supportportal eines Drittanbieters, das vom Unternehmen genutzt wurde.
Bei diesem Vorfall wurden Namen, Benutzernamen und E-Mail-Adressen von rund 66.000 Kunden offengelegt.
Trezor meldete im August 2026 einen weiteren Sicherheitsvorfall, nachdem Hacker den Logistikanbieter ShipMonk kompromittiert hatten. Die Angreifer nutzten eine kritische SQL-Injection-Schwachstelle in Metabase aus und stahlen Informationen zu Kundenbestellungen.
Zu den offengelegten Daten gehörten Namen, Lieferadressen, E-Mail-Adressen und Telefonnummern. Trezor berichtete zunächst, dass fast 14.000 Kunden betroffen waren.
Eine spätere Untersuchung identifizierte jedoch weitere 67.000 Opfer in den Vereinigten Staaten. Dadurch erhöhte sich die Gesamtzahl auf 81.000 Personen.
Auch Kunden in Brasilien, Kolumbien, Italien, Portugal, Schweden und Großbritannien waren betroffen. Die offengelegten internationalen Datensätze betrafen Bestellungen, die zwischen dem 10. Mai und dem 8. August 2026 ausgeliefert wurden.
ShipMonk erhielt später Erpressungs-E-Mails, die mit der Gruppe ShinyHunters in Verbindung gebracht wurden.
Nutzer sollten ihre Wiederherstellungsphrasen schützen
Wer nach dem Anklicken des schädlichen Links eine Wallet-Wiederherstellungsphrase eingegeben hat, sollte seine Vermögenswerte sofort in eine neu erstellte Wallet übertragen. Dieser Vorgang sollte mit vertrauenswürdiger Software aus offiziellen Quellen durchgeführt werden.
Nutzer, die lediglich auf den Link geklickt haben, sollten auf ungewöhnliche Aktivitäten achten. Außerdem sollten sie alle Anwendungen entfernen, die über die Phishing-Seite heruntergeladen wurden.
Darüber hinaus sollten Empfänger mit weiteren gezielten Nachrichten rechnen, da die Angreifer möglicherweise weiterhin über die offengelegten E-Mail-Adressen verfügen.
Der beste Schutz besteht darin, Wiederherstellungsphrasen offline und privat aufzubewahren. Ein seriöser Wallet-Anbieter wird Kunden niemals auffordern, diese Informationen über einen per E-Mail versendeten Link einzugeben.
0 Kommentare zu „Trezor zufolge wurden nach dem Datenleck bei Brevo 347.000 Nutzer angegriffen“