Der Hardware-Wallet-Hersteller Trezor hat eine deutliche Ausweitung der Datenpanne bei seinem früheren Versanddienstleister ShipMonk bestätigt. Weitere 67.000 US-Kunden sind betroffen. Damit steigt die Zahl der bekannten betroffenen Kunden auf rund 80.000.
Nach Angaben von Trezor betrifft die neu identifizierte Gruppe Bestellungen aus dem Zeitraum zwischen November 2019 und August 2021. Offengelegt wurden Kunden- und Bestelldaten, nicht jedoch die Systeme von Trezor oder die kryptografischen Daten der Hardware-Wallets. Der Fall unterstreicht dennoch die Risiken, die entstehen können, wenn Versand- und Kontaktdaten bei externen Dienstleistern gespeichert werden.
Ausweitung der Datenpanne bei ShipMonk
Trezor erklärte, vor zwei Tagen ein aktualisiertes Update von ShipMonk erhalten zu haben. Demnach betrifft die Datenpanne weitere 67.000 Kunden aus den USA. Diese Kunden hatten zwischen November 2019 und August 2021 Bestellungen aufgegeben, sodass der Umfang des zunächst im vergangenen Monat bekannt gewordenen Vorfalls erheblich größer ausfällt als zunächst angenommen.
Zu den offengelegten Informationen zählen Namen, E-Mail-Adressen, Telefonnummern, Lieferadressen und Bestellnummern. Trezor teilte mit, alle betroffenen Kunden direkt per E-Mail informiert zu haben. Kunden, die keine solche Benachrichtigung erhalten haben, seien von der neu identifizierten Offenlegung nach Angaben des Unternehmens nicht betroffen.
Zuvor war von rund 13.689 betroffenen Kunden die Rede. Zusammen mit den nun gemeldeten zusätzlichen Fällen ergibt sich damit eine Gesamtzahl von etwa 80.000 betroffenen Kunden. Einige der in dem Datensatz enthaltenen Bestellungen liegen mehrere Jahre zurück und reichen deutlich weiter zurück als die zunächst beschriebenen jüngeren Bestellungen.
Daten trotz Löschzusagen nicht entfernt
Besonders kritisch ist nach Darstellung von Trezor, dass die neu identifizierten Datensätze trotz wiederholter Löschanfragen weiterhin in den Systemen von ShipMonk vorhanden gewesen sein sollen. Trezor gab an, mehrfach schriftliche Zusicherungen zur Löschung der Daten angefordert und erhalten zu haben. Das Unternehmen zeigte sich enttäuscht darüber, dass die Informationen dennoch gespeichert blieben.
Laut Trezor war ShipMonk nach Vertrag und Datenschutzrichtlinie verpflichtet, Kundendaten nach einer Aufbewahrungsfrist von 90 Tagen zu löschen oder zu anonymisieren. Die im durchgesickerten Datensatz enthaltenen älteren Bestellungen deuten nach Angaben des Unternehmens darauf hin, dass Daten über diesen vorgesehenen Zeitraum hinaus aufbewahrt wurden.
Trezor betonte zugleich, dass die eigenen Systeme und Hardware-Wallets nicht von dem Vorfall betroffen seien. Private Schlüssel und Wallet-Backups seien nicht kompromittiert worden. Die offengelegten Informationen stammten ausschließlich aus Kunden- und Bestelldaten, die bei ShipMonk gespeichert waren.
Warum das Leck für Wallet-Besitzer riskant ist
Das Risiko liegt vor allem darin, dass Namen, Kontakt- und Lieferdaten mit dem Kauf einer Hardware-Wallet verknüpft werden können. Nach Einschätzung von Cryptopolitan können solche Informationen gezieltes Vorgehen gegen bekannte Wallet-Besitzer erleichtern. Dafür müssen weder ein Gerät noch private Schlüssel kompromittiert werden.
Hardware-Wallets selbst speichern keine klassischen E-Commerce-Datensätze. Beim Kauf entstehen jedoch Daten zu Bestellung, Kontakt und Zustellung, die bei externen Logistik- oder Fulfillment-Partnern verarbeitet werden können. Der Vorfall bei ShipMonk zeigt damit, dass der Schutz von Kundendaten auch dann relevant bleibt, wenn die Geräte und die darauf gespeicherten Zugangsdaten nicht betroffen sind.
Phishing-Risiko und nächste Schritte
Trezor warnte betroffene Kunden vor Phishing-Versuchen auf Basis der offengelegten Daten. Namen, Telefonnummern, E-Mail-Adressen und Versandangaben könnten dazu genutzt werden, betrügerische E-Mails, Anrufe oder physische Briefe glaubwürdig erscheinen zu lassen. Ziel solcher Kontaktaufnahmen kann es sein, Empfänger zur Preisgabe von Wiederherstellungsinformationen oder zu anderen sicherheitsrelevanten Handlungen zu bewegen.
- Wallet-Backup schützen: Trezor fordert Kunden auf, ihre Seed Phrase oder ihr Wallet-Backup niemals weiterzugeben und nicht auf einer Website einzugeben.
- Unerwartete Kontaktaufnahme prüfen: Nachrichten, Anrufe oder Briefe mit Bezug zu einer Trezor-Bestellung sollten mit besonderer Vorsicht behandelt werden.
- Lieferdaten berücksichtigen: Versand- und Adressdaten können bei gezielten Betrugsversuchen zur Nachahmung von Trezor, Versanddienstleistern oder Support-Mitarbeitern genutzt werden.
Trezor arbeitet nach eigenen Angaben an einer anonymen Zustelloption, die die Menge der beim Versand verwendeten Kundeninformationen reduzieren soll. Das Unternehmen strebt eine Verfügbarkeit in der Europäischen Union bis September 2026 und in den USA bis Ende 2026 an. Für Nutzer bleibt die zentrale Unterscheidung wichtig: Die Datenpanne betraf nach Angaben von Trezor ausgelagerte Kunden- und Bestelldaten, nicht die Hardware-Wallets, privaten Schlüssel oder Wallet-Backups selbst.
Warum Sie 99Bitcoins vertrauen können
99Bitcoins wurde 2013 gegründet und verfügt über ein Team von Experten, deren Erfahrung bis in die Anfänge der Kryptozeit zurückreicht.
Wöchentliche Recherche
100k+Monatliche Leser
Experten
2000+Krypto-Projekte unter die Lupe genommen
