Nach der ersten Meldung stellte sich heraus, dass bei 1.947 Kunden, deren Offenlegung auf Namen, Städte und E-Mail-Adressen begrenzt war und Lieferadressen ausschloss, auch ältere Bestellungen betroffen sein können. Trezor verweist auf seine eigene Aufbewahrungspraxis: „Nach 90 Tagen löschen oder anonymisieren wir alle Kundendaten im Zusammenhang mit einem Kauf in unserem Trezor eShop“, so das Unternehmen. Man habe diese Frist gewählt, weil sie das kürzeste Zeitfenster sei, das den gesamten Lebenszyklus einer Bestellung abdecke – Zustellung, Rücksendungen sowie Erstattungen oder Ersatzlieferungen. Danach gebe es keinen Grund mehr, Adresse oder Telefonnummer zu speichern.
Öffentlich geäußert hat sich ShipMonk zu dem Vorfall bislang nicht. Das Logistikunternehmen soll die betroffenen Systeme abgesichert und seine Sicherheitsmaßnahmen nach dem Einbruch verbessert haben. Ausgangspunkt war den Angaben zufolge die Zero-Day-Ausnutzung von CVE-2026-72898, einer kritischen SQL-Injection-Schwachstelle in Metabase mit einem CVSS-Wert von 10.0.
Hinter dem Angriff soll nach Einschätzung der auf Blockchain-Sicherheit spezialisierten Firma Holborn die Erpressergruppe ShinyHunters stehen. Holborn ordnet den Fall als Angriff auf die Software-Lieferkette ein: „Der Trezor-Vorfall war das Ergebnis eines Supply-Chain-Angriffs, der mit einer Zero-Day-Schwachstelle begann“, erklärte das Unternehmen. Durch das Auffinden und Ausnutzen der SQL-Injection-Lücke in Metabase hätten die Angreifer mehrere Kunden der Software treffen, sensible Daten stehlen und die Organisationen erpressen können. Im Fall von Trezor habe dies die Offenlegung von Bestelldetails bedeutet, die ShipMonk in einer Metabase-Instanz gespeichert hatte. Holborn leitet daraus die Notwendigkeit ab, dass Organisationen vollständige Transparenz über ihre Risiken bei Drittanbietern benötigen, um ihre Sicherheitslage insgesamt steuern zu können.
Trezor hat die betroffenen Kunden nach eigenen Angaben direkt benachrichtigt und warnt zugleich vor Folgeangriffen mittels Social Engineering. Kriminelle könnten die abgeflossenen Angaben für Phishing-Mails oder gefälschte Briefe nutzen, betrügerische Anrufe tätigen und sich in E-Mails sogar als das Unternehmen selbst ausgeben, um Empfänger zu unbedachten Handlungen zu bewegen. „Die geleakten Informationen könnten für Betrugs-E-Mails, betrügerische Anrufe oder Briefe verwendet werden und die betroffenen Personen möglicherweise auch physischen Sicherheitsrisiken aussetzen“, teilte Trezor mit.