Trezor Datenleck: 13.689 Kunden über Versandpartner weg

Beim Trezor Datenleck flossen Namen, Adressen und Telefonnummern von 13.689 Kunden ab – nicht bei Trezor, sondern beim Logistikpartner ShipMonk.

Das Trezor Datenleck trifft 13.689 Kunden — und es ist kein Hack beim Wallet-Hersteller selbst. Angegriffen wurde ShipMonk, einer der Logistikdienstleister von Trezor. Abgeflossen sind Namen, Lieferadressen, Telefonnummern und E-Mail-Adressen. Wer eine Hardware-Wallet kauft, tut das meist gerade, um nicht in einer Datenbank zu landen. Genau diese Erwartung ist hier gebrochen worden.

Was beim Trezor Datenleck passiert ist

Trezor hat den Vorfall am 13. August 2026 öffentlich gemacht. Am 10. August informierte ShipMonk das Unternehmen über einen unbefugten Zugriff auf Systeme mit Kundendaten. Die Zahlen, die Trezor selbst nennt:

Newsletter

Klartext ins Postfach

KI, Security & Crypto – die wichtigsten Analysen, kein Spam. Jederzeit abbestellbar.

11.742 Kunden mit vollständiger Offenlegung: Name, E-Mail, Telefonnummer und Lieferadresse.
1.947 Kunden mit teilweiser Offenlegung: Name, Stadt und E-Mail-Adresse.
Betroffen sind Bestellungen von Kunden in den USA, Großbritannien, Schweden, Kolumbien, Brasilien, Italien und Portugal, die zwischen dem 10. Mai und dem 8. August 2026 zugestellt wurden.

Trezor betont, dass die eigenen Systeme nicht kompromittiert wurden und die Geräte selbst sicher sind. Wer keine Benachrichtigung von der offiziellen Trezor-Adresse erhalten hat, ist demnach nicht betroffen. Bemerkenswert ist der Grund, warum der Schaden begrenzt blieb: Trezor verlangt von Logistikpartnern, Bestelldaten 90 Tage nach Zustellung zu löschen oder zu anonymisieren. Ältere Bestellungen lagen deshalb gar nicht mehr im System. Für die Gruppe mit Teil-Offenlegung räumt Trezor allerdings ein, dass darunter auch ältere Bestellungen sein könnten — das werde noch mit ShipMonk geklärt.

Die Spur führt zur Metabase-Lücke

Interessant ist die Kette dahinter. Laut den Benachrichtigungsmails, die ShipMonk an Kunden verschickt hat, nutzten die Angreifer eine Schwachstelle in der Analyseplattform Metabase. Am 6. August habe Metabase den Dienstleister über den unbefugten Zugriff informiert; der Hersteller habe die Lücke inzwischen geschlossen und alle aktiven Sitzungen invalidiert.

Damit reiht sich der Fall in eine Serie ein, über die ich hier bereits geschrieben habe: den Metabase-Zero-Day mit CVSS 10.0 (CVE-2026-72898), über den Angreifer per SQL-Injection Administratorrechte auf fremden Instanzen erlangten. Die CISA hat die Lücke am 11. August in ihren Katalog aktiv ausgenutzter Schwachstellen aufgenommen. Zu den Betroffenen zählen unter anderem der Laptop-Hersteller Framework und der Formular-Anbieter Tally. ShipMonk soll zudem Erpressungsmails der Gruppe ShinyHunters erhalten haben.

Ein Muster, das sich diesen Sommer häuft: Erst am 10. August musste Valve europäische Käufer von Steam-Hardware informieren, nachdem der Versandpartner CEVA Logistics angegriffen worden war.

Was das für dich bedeutet

Aus Sicherheitssicht ist das keine Wallet-Geschichte, sondern eine Lieferketten-Geschichte. Der Hersteller hat sauber gearbeitet, der Angreifer ist trotzdem an die Kundendaten gekommen — über einen Dienstleister eines Dienstleisters. Genau dieses Muster sehe ich seit Jahren in Unternehmen: Die eigene Umgebung wird gehärtet, während den Datenfluss zu Partnern kaum jemand vollständig kennt. Wer nur seinen eigenen Perimeter betrachtet, hat den größeren Teil des Risikos nie gemessen.

Trotzdem lohnt der Blick auf die 90-Tage-Löschfrist. Laut Trezor hat sie den Schaden begrenzt, weil ältere Bestellungen gar nicht mehr vorlagen — mit der Einschränkung, dass genau das für die Gruppe der 1.947 Kunden gerade noch geprüft wird. Wenn sich das bestätigt, ist es das beste Argument für Datensparsamkeit, das man in eine Vertragsverhandlung mit Dienstleistern mitnehmen kann: nicht als Compliance-Floskel, sondern als Schadensbegrenzung.

Für Betroffene ist die konkrete Gefahr nicht der Diebstahl von Coins, sondern der zweite Schritt. Wer weiß, dass an eine bestimmte Adresse eine Hardware-Wallet geliefert wurde, kennt eine sehr präzise Zielgruppe: Menschen mit Kryptowährungen, verifiziert durch eine Kaufentscheidung, samt Anschrift und Telefonnummer. Damit funktionieren Phishing-Mails, gefälschte Anrufe und sogar Briefpost deutlich besser als bei einem beliebigen Datenleck. Nach dem Trezor-Vorfall vom Januar 2024 — damals traf es ein Ticketsystem eines Drittanbieters mit rund 66.000 Nutzern — versuchten Angreifer genau das: Sie wollten die 24 Wörter der Wallet-Wiederherstellung erschleichen. Trezor selbst weist darauf hin, dass dies der erste Vorfall seit der Gründung 2013 ist, bei dem Telefonnummern und Lieferadressen von Kunden offengelegt wurden.

Was Betroffene jetzt tun sollten

Seed niemals eingeben — nirgends. Keine echte Support-Anfrage, keine „Sicherheitsprüfung”, kein Firmware-Update verlangt jemals die Wiederherstellungswörter. Wer danach fragt, ist ein Angreifer. Punkt.
Bei Anrufen auflegen und selbst zurückrufen. Telefonnummern sind abgeflossen. Ein Anruf, der Dringlichkeit erzeugt, ist das klassische Muster. Nummer aus der eigenen Bestellbestätigung nehmen, nicht aus dem Anruf.
Briefpost mit gleicher Skepsis behandeln. Auch Adressen liegen vor. Im Februar 2026 kursierten bereits gefälschte Trezor- und Ledger-Briefe mit QR-Codes, die zu Seiten führten, auf denen man seine Wiederherstellungswörter eintippen sollte.
Passphrase erwägen. Sie verhindert keinen physischen Zugriff, sorgt aber dafür, dass Gerät und PIN — oder ein kompromittierter Seed — allein nicht genügen, weil sie ein eigenes verstecktes Wallet aufspannt. Achtung: Eine vergessene Passphrase ist nicht wiederherstellbar, das Guthaben ist dann verloren. Gegen erzwungene Herausgabe hilft sie ebenfalls nicht.
Bei künftigen Bestellungen Daten reduzieren. Trezor selbst empfiehlt eine nicht identifizierende E-Mail-Adresse, Zahlung per Krypto oder Einwegkarte sowie ein Postfach statt der Privatadresse — mit dem eigenen Vorbehalt, dass bei der Abholung ein Ausweis nötig ist und die Daten beim Postdienstleister liegen. Ein anonymer Versandweg ist angekündigt: in der EU ab September 2026, in den USA bis Jahresende.

Wichtig zur Einordnung: Die Sicherheit der Hardware-Wallet selbst steht hier nicht infrage. Wer noch überlegt, welches Gerät für die Selbstverwahrung taugt, findet die Unterschiede in meinem Ratgeber zu den besten Krypto-Hardware-Wallets 2026. Wie schnell es dagegen um echte Gerätefehler ernst wird, zeigt der Coldcard-Fall — ein ganz anderes Kaliber als ein Adressleck.

Quellen

Dranbleiben

Diese Analysen als Newsletter

Ein Mal pro Woche Klartext zu KI, Security & Crypto – direkt in dein Postfach.

Jetzt anmelden

Trezor Datenleck: 13.689 Kunden nach Hack beim Versanddienstleister betroffen