Trezor hat eingeräumt, dass der Datenabfluss bei seinem Logistikpartner ShipMonk deutlich mehr Kunden trifft als zunächst angenommen. „Weitere 67.000 Kunden aus den USA, die zwischen November 2019 und August 2021 bestellt haben, waren betroffen, mit ihren vollständigen Angaben (Name, E-Mail, Telefonnummer, Lieferadresse, Bestellnummer)", teilte das Unternehmen mit.
Dass diese Altdaten überhaupt noch vorhanden waren, wertet Trezor als Vertragsbruch. „Während unserer gesamten Zusammenarbeit mit ShipMonk haben wir wiederholt die Löschung der Daten verlangt und schriftliche Zusicherungen erhalten, im Einklang mit unserem Vertrag, unserer Datenrichtlinie und der bisherigen Kommunikation. Wir sind sehr enttäuscht, dass die Daten trotz dieser Bestätigung nicht in ihren Systemen gelöscht wurden", heißt es in der Stellungnahme.
Die erste Meldung vom 13. August hatte knapp 14.000 Kunden betroffen – mit vollständigen Namen, Lieferadressen, E-Mail-Adressen und Telefonnummern. Betroffen waren Bestellungen, die zwischen dem 10. Mai und dem 8. August 2026 zugestellt wurden, an Kunden in Brasilien, Kolumbien, Italien, Portugal, Schweden und Großbritannien.
Wie die Angreifer in die Systeme von ShipMonk gelangten, hat Trezor öffentlich nicht erläutert. In den Benachrichtigungs-E-Mails an Betroffene, die BleepingComputer vorliegen, ist jedoch von einer ausgenutzten Schwachstelle in der Analyseplattform Metabase eines Drittanbieters die Rede. Metabase hatte zuvor offengelegt, dass Angreifer eine kritische SQL-Injection-Zero-Day-Lücke nutzten, um Kundeninstanzen zu kompromittieren und nach Erlangen von Administratorrechten Daten abzuziehen.
Nach Informationen von BleepingComputer hat ShipMonk zudem Erpresser-E-Mails der Gruppe ShinyHunters erhalten. Zu den weiteren Opfern der Metabase-Kampagne zählen die Formular-Plattform Tally und der Notebook-Hersteller Framework – beide hatten ihre Kunden ebenfalls über Datenabflüsse informiert, nachdem ihre Instanzen übernommen worden waren.
Trezor stellt klar, dass der Vorfall weder den Betrieb noch die Dienste des Unternehmens beeinträchtigt habe, die eigenen Systeme nicht kompromittiert worden seien und sämtliche Trezor-Geräte sicher blieben. Betroffene sollten Nachrichten, die persönliche Daten abfragen, mit Misstrauen begegnen: „Seien Sie sich des erhöhten Phishing-Risikos bewusst. Die abgeflossenen Informationen könnten für Betrugs-E-Mails, betrügerische Anrufe oder Briefe genutzt werden und Betroffene möglicherweise auch physischen Sicherheitsrisiken aussetzen."
Für Trezor ist es nicht der erste Vorfall dieser Art: Im Januar 2024 meldete das Unternehmen einen Datenabfluss, nachdem Angreifer das Ticketsystem eines externen Support-Dienstleisters kompromittiert und Daten von rund 66.000 Nutzern – darunter Namen, Benutzernamen und E-Mail-Adressen – abgegriffen hatten. Diese Daten wurden später in Phishing-Angriffen verwendet, mit denen die Täter an die 24 Wörter umfassenden Wiederherstellungs-Seeds der Wallets gelangen wollten.