Trezor hat die Folgen einer Phishing-Kampagne beziffert, die sich in dieser Woche gegen seine Kundschaft richtete: 347.000 E-Mail-Adressen wurden angeschrieben, 2.500 Nutzer klickten auf den enthaltenen Schadlink. Ausgangspunkt war nach Angaben des Unternehmens ein Einbruch bei Brevo, dem externen E-Mail-Dienstleister, über den Trezor seine Newsletter versendet.
„Am 9. September 2026 erlitt Brevo, die von Trezor für Newsletter-Kampagnen genutzte Marketingplattform eines Drittanbieters, einen Sicherheitsvorfall, von dem 120 Brevo-Konten betroffen waren. Ein unbefugter Akteur verschaffte sich Zugang zu Brevos System und nutzte es, um E-Mails aus verschiedenen Kundenkonten zu versenden, darunter auch dem von Trezor", teilte das Unternehmen mit. Betroffen sei die Datenbank des Newsletter-Verteilers mit rund 347.000 Adressen, die künftig für weitere Phishing-Angriffe missbraucht werden könnten. Kein anderes Trezor-System sei berührt worden; das Brevo-Konto wurde gesperrt, um weitere Versandaktionen zu unterbinden.
Die Betrugsmails traten als „kritische Sicherheitswarnung" auf und stammten scheinbar von der Adresse help@trezor.io. Behauptet wurde eine „Schwachstelle im Hardware-Mikrocontroller": Die in Trezors Cold-Storage-Wallets verbauten STM32-Bausteine könnten die Seed-Phrasen einem Brute-Force-Angriff aussetzen. Wer dem Link folgte, sollte eine Anwendung herunterladen, die anschließend zur Eingabe des Wallet-Backups aufforderte — also genau jener Daten, mit denen sich ein Wallet vollständig übernehmen lässt.
Nach Darstellung von Trezor wurde die für die Kampagne genutzte Domain binnen 20 Minuten abgeschaltet. Der Link war damit funktionslos, bevor mehr als die genannten 2.500 Empfänger ihn angeklickt hatten.
Es ist nicht der erste Vorfall, bei dem Trezor über einen Dienstleister getroffen wurde. Im Januar 2024 meldete das Unternehmen einen Einbruch in das externe Support-Ticketsystem, bei dem Angreifer Namen, Benutzernamen und E-Mail-Adressen von rund 66.000 Nutzern erbeuteten.
Erst kürzlich kam ein weiterer Fall hinzu: Angreifer kompromittierten ShipMonk, den Logistik- und Versanddienstleister von Trezor, über eine kritische SQL-Injection-Zero-Day-Lücke in Metabase. Gestohlen wurden Bestelldaten von Kunden, darunter vollständige Namen, Lieferanschriften, E-Mail-Adressen und Telefonnummern. Zunächst sprach Trezor von knapp 14.000 Betroffenen; eine Nachuntersuchung ergab weitere 67.000 Kunden in den USA, womit die Gesamtzahl auf 81.000 Personen stieg. Betroffen waren zudem Kunden in Brasilien, Kolumbien, Italien, Portugal, Schweden und Großbritannien, die zwischen dem 10. Mai und dem 8. August 2026 Bestellungen erhielten.
Nach Informationen von BleepingComputer erhielt ShipMonk im Anschluss an den Vorfall Erpressermails der Gruppe ShinyHunters.