In einem Blogeintrag vom Donnerstag teilte Trezor mit, ShipMonk habe das Unternehmen am Montag, dem 10. August 2026, über einen unbefugten Zugriff auf Systeme informiert, in denen Kundendaten gespeichert waren. Nach Angaben von Trezor sind 11.742 Kunden vollständig betroffen; offengelegt wurden dabei Name, E-Mail-Adresse, Telefonnummer und Lieferadresse. Bei weiteren 1.947 Kunden seien Name, Stadt und E-Mail-Adresse teilweise offengelegt worden.
Der Vorfall betrifft nach Unternehmensangaben Kunden aus den USA, dem Vereinigten Königreich, Schweden, Kolumbien, Brasilien, Italien und Portugal. Trezor erklärte zugleich, dass weder die eigenen Systeme kompromittiert worden seien noch die Dienste oder der Betrieb beeinträchtigt seien. Auch die Geräte des Herstellers seien sicher.
Zugleich warnte Trezor betroffene Kunden vor einer möglichen Zunahme von Phishing-Angriffen. Das Unternehmen weist darauf hin, dass Betrüger die abgeflossenen Informationen für gefälschte E-Mails, fingierte Telefonanrufe oder betrügerische Briefe nutzen könnten. Ebenso sei es möglich, dass sich Angreifer als Banken, Krypto-Börsen oder sogar als Trezor selbst ausgeben.
Wie ShipMonk kompromittiert wurde, führte Trezor in seiner Mitteilung nicht aus. Laut Benachrichtigungs-E-Mails an betroffene Kunden, die BleepingComputer eingesehen hat, erklärte ShipMonk jedoch, die Angreifer hätten eine Schwachstelle in der Analyseplattform Metabase eines Drittanbieters ausgenutzt. ShipMonk schrieb, Metabase habe das Unternehmen am 6. August 2026 darüber informiert, dass eine unbefugte Partei eine Schwachstelle in der Metabase-Software ausgenutzt habe, um auf Daten zuzugreifen, die mit dem jeweiligen Konto und dessen Kunden zusammenhingen.
Nach Darstellung von ShipMonk hat der Anbieter die Schwachstelle inzwischen geschlossen und alle aktiven Sitzungen ungültig gemacht. Außerdem habe ShipMonk mit Unterstützung externer IT-Experten eine gründliche technische Untersuchung eingeleitet.
Wie BleepingComputer zuvor berichtete, hatte Metabase offengelegt, dass Bedrohungsakteure eine kritische Zero-Day-Schwachstelle für SQL-Injection ausnutzten. Dadurch konnten sie Kundeninstanzen kompromittieren und nach Erlangung von Administratorzugriff Datendiebstahl betreiben. Zu den betroffenen Unternehmen zählen dem Bericht zufolge auch der Laptop-Hersteller Framework und der Online-Formularanbieter Tally, die ihre Kunden ebenfalls über Datenlecks nach der Übernahme ihrer Metabase-Instanzen informierten.
Für Trezor ist es nicht der erste Vorfall dieser Art. Bereits im Januar 2024 hatte das Unternehmen ein weiteres Datenleck publik gemacht, nachdem Angreifer Zugriff auf ein Support-Ticket-Portal eines Drittanbieters erlangt hatten. Damals teilte der Hersteller der Hardware-Krypto-Wallets mit, dass bei 66.000 Nutzern, die seit Dezember 2021 mit dem Trezor-Support in Kontakt standen, Namen, Benutzernamen und E-Mail-Adressen offengelegt worden sein könnten. Nach diesem Vorfall bestätigte Trezor, dass die gestohlenen Informationen für Phishing-Angriffe genutzt wurden, mit denen Empfänger dazu gebracht werden sollten, ihre 24 Wörter umfassenden Wiederherstellungs-Seeds preiszugeben.