Trezor spricht von einem Einbruch bei seinem externen E-Mail-Anbieter. Die Angreifer nutzten den Zugang, um Kunden mit einer angeblichen Sicherheitswarnung zu adressieren. Inhaltlich setzte die Nachricht auf die Angst der Wallet-Besitzer: Eine Schwachstelle in den STM32-Mikrocontrollern der Cold-Storage-Geräte mache die Seed-Phrasen durch Brute-Force-Angriffe angreifbar.
„Unser externer E-Mail-Anbieter wurde kompromittiert. Bitte beachten Sie, dass die E-Mail mit dem Titel ‚Critical Security Alert: STM32 Entropy Vulnerability‘ nicht von uns kommt, sondern ein Phishing-Versuch ist. Klicken Sie auf keinen Link“, teilte das Unternehmen mit. Und weiter: „Wir haben die Domain abgeschaltet und untersuchen die Situation, einschließlich der Frage, wie die Angreifer Zugriff auf unsere legitime Domain erhalten haben.“
Parallel dazu weitet sich ein zweiter Vorfall aus. Im August hatte Trezor ein Datenleck bekannt gegeben, nachdem Angreifer beim Versand- und Logistikdienstleister ShipMonk eingedrungen waren und Bestelldaten entwendet hatten – darunter vollständige Namen, Lieferadressen, E-Mail-Adressen und Telefonnummern.
Zunächst sprach das Unternehmen von knapp 14.000 betroffenen Kunden. Ein Update vom Freitag korrigierte diese Zahl deutlich: Eine Nachuntersuchung ergab, dass zusätzlich 67.000 Kunden in den USA betroffen sind, womit die Gesamtzahl auf 81.000 steigt. Laut Trezor traf das Leck außerdem Kunden in Brasilien, Kolumbien, Italien, Portugal, Schweden und dem Vereinigten Königreich, die zwischen dem 10. Mai und dem 8. August 2026 Bestellungen erhalten hatten.
Wie die Systeme von ShipMonk kompromittiert wurden, ließ Trezor offen. In Benachrichtigungs-E-Mails, die BleepingComputer vorliegen, heißt es jedoch, die Angreifer hätten eine Schwachstelle in der Analyseplattform Metabase ausgenutzt. Metabase selbst hatte Anfang August erklärt, dass Angreifer über eine kritische SQL-Injection-Zero-Day-Lücke in Kundeninstanzen eindrangen, Administratorrechte erlangten und Daten abzogen.
Nach Informationen von BleepingComputer erhielt ShipMonk im Anschluss an den Einbruch Erpressungs-E-Mails der Gruppe ShinyHunters.
Bereits im Januar 2024 musste Trezor ein Datenleck einräumen: Damals war das externe Support-Ticketsystem kompromittiert worden, die Angreifer griffen auf Daten von rund 66.000 Nutzern zu, darunter Namen, Benutzernamen und E-Mail-Adressen.