Ein massives Datenleck bei ShipMonk betrifft zehntausende Trezor-Kunden. Erfahren Sie, warum Lieferadressen ein kritisches Sicherheitsrisiko für Krypto-Besitzer sind.

In der Welt der Kryptowährungen gilt die Hardware-Wallet als Goldstandard der Sicherheit. Die Trennung privater Schlüssel vom Internet schützt Vermögenswerte vor digitalen Angriffen. Doch ein aktueller Vorfall rund um den Prager Hersteller Trezor zeigt eine gefährliche Flanke auf: die physische Lieferkette. Ein massives Datenleck beim US-Versanddienstleister ShipMonk hat sensible Kundendaten offengelegt und verdeutlicht, dass die größte Schwachstelle oft nicht im Code, sondern in der Logistik liegt.

Die Anatomie eines Supply-Chain-Angriffs

Der Vorfall kam im August 2026 ans Licht, als ShipMonk das Unternehmen Trezor über einen unbefugten Zugriff auf seine Systeme informierte. Die Ursache war eine kritische Sicherheitslücke in Metabase, einer Drittanbieter-Plattform für Analysen. Konkret handelte es sich um die Schwachstelle CVE-2026-72898, eine SQL-Injection mit einem maximalen CVSS-Score von 10.0. Diese Lücke ermöglichte es Angreifern, tief in die Datenbanken einzudringen.

Nach ersten Berichten waren zunächst 13.689 Kunden aus verschiedenen Ländern betroffen, darunter die USA, Großbritannien, Schweden, Italien und Portugal. Doch die Dimension des Problems weitete sich schnell aus. Am 4. September 2026 musste Trezor eingestehen, dass weitere 67.000 Kunden aus den USA betroffen sind. Diese zweite Welle betrifft Bestellungen aus dem Zeitraum zwischen November 2019 und August 2021. Die Hackerbande ShinyHunters wird laut dem Sicherheitsunternehmen Holborn als Urheber des Angriffs vermutet.

Vertrauensbruch durch ignorierte Löschfristen

Besonders brisant ist die Tatsache, dass die Daten aus den Jahren 2019 bis 2021 eigentlich gar nicht mehr existieren dürften. Trezor verfolgt eine strikte 90-Tage-Aufbewahrungsrichtlinie für Kundendaten im eShop, um Retouren und Erstattungen abzuwickeln. Nach diesem Fenster sollen alle personenbezogenen Daten gelöscht oder anonymisiert werden.

Trezor gab an, von ShipMonk wiederholt schriftliche Zusicherungen erhalten zu haben, dass diese Datenlöschungen gemäß Vertrag und Datenschutzrichtlinien erfolgt seien. Dass die Daten dennoch über fünf Jahre später in den Systemen des Logistikers verfügbar waren und gestohlen werden konnten, bezeichnet das Unternehmen als zutiefst enttäuschend. Hier zeigt sich ein klassisches Problem des modernen Outsourcings: Ein Unternehmen kann seine internen Datenschutzstandards noch so streng gestalten, die tatsächliche Sicherheit hängt jedoch von der Disziplin des schwächsten Glieds in der Lieferkette ab.

Das Risiko des Real-World-Phishings

Technisch gesehen ist die Integrität der Trezor-Geräte nicht gefährdet. Weder Firmware noch Private Keys oder Wallet-Backups wurden kompromittiert. Dennoch ist die Lage für die betroffenen Nutzer ernst. Die Kombination aus einer physischen Adresse und dem Wissen, dass an dieser Adresse ein Besitzer einer Hardware-Wallet lebt, schafft eine neue Angriffsfläche, die Experten als IRL-Phishing bezeichnen.

Angreifer können die gestohlenen Informationen nutzen, um hochgradig glaubwürdige Social-Engineering-Kampagnen zu starten. Während herkömmliches Phishing oft auf Masse setzt, erlaubt dieses Leck gezielte Angriffe. Betroffene könnten Briefe per Post erhalten, die täuschend echt aussehen und sie dazu drängen, ihre Recovery-Phrase auf einer gefälschten Website einzugeben. Auch Anrufe von Personen, die sich als Support-Mitarbeiter oder Bankvertreter ausgeben und spezifische Bestelldetails nennen, werden wahrscheinlicher.

Die Gefahr ist real: Hausadressen und Telefonnummern in den Händen von Menschen, die wissen, dass Sie eine Hardware-Wallet gekauft haben, erhöhen den Einsatz massiv.

Prävention in einer unsicheren Logistikwelt

Um die Nutzer vor den Folgen des Lecks zu schützen, hat Trezor die betroffenen Kunden direkt benachrichtigt. Die Warnung ist eindeutig: Keine Recovery-Phrase auf Webseiten eingeben und niemals Seed-Phrasen an vermeintliche Support-Mitarbeiter weitergeben. Die einzige sichere Kommunikation erfolgt über die offiziellen Kanäle von Trezor.

Langfristig führt dieser Vorfall zu einer Diskussion über die Art und Weise, wie Krypto-Hardware versendet wird. Trezor spricht sich nun für Liefermodelle aus, die weniger personenbezogene Daten erfordern. Anonyme Zustelloptionen oder datenschutzorientierte Versandwege könnten in Zukunft die Norm werden, um zu verhindern, dass die physische Identität eines Nutzers mit seinem digitalen Vermögen verknüpft wird.

Die Rolle von Drittanbietern in der Sicherheitskette

Der Fall ShipMonk illustriert die Gefahr von Kaskadeneffekten in der IT-Infrastruktur. Die Kette der Kompromittierung sah wie folgt aus: Eine Schwachstelle in einer Analyse-Software (Metabase) führte zum Zugriff auf die Systeme eines Logistikers (ShipMonk), was letztlich die Privatsphäre der Kunden eines Hardware-Wallet-Herstellers (Trezor) gefährdete. Für Unternehmer bedeutet dies, dass ein Audit der eigenen Sicherheit nicht ausreicht, wenn die Partner in der Lieferkette nicht denselben Standards folgen.

Die betroffenen Daten umfassen laut Netz Trends Namen, E-Mail-Adressen, Telefonnummern, Lieferadressen sowie Bestellnummern. Diese Informationen sind für Kriminelle wertvoll, da sie eine Brücke zwischen der digitalen Anonymität der Blockchain und der physischen Realität der Nutzer schlagen.

Bedeutung für Unternehmen in Deutschland und der DACH-Region

Für den deutschen Mittelstand und Unternehmen in Österreich und der Schweiz liefert dieser Vorfall wichtige Lehren, insbesondere im Kontext von Industrie 4.0 und dem AI Act. Die zunehmende Vernetzung von Produktion, Logistik und KI-gestützten Analysetools vergrößert die Angriffsfläche massiv. Wenn deutsche Unternehmen ihre Lieferketten digitalisieren, müssen sie erkennen, dass Datenschutzverträge allein keine Sicherheit garantieren.

Im Rahmen der DSGVO (GDPR) ist die Löschpflicht von Daten ein zentrales Element. Der Fall Trezor/ShipMonk zeigt, dass die Nicht-Einhaltung dieser Pflichten bei Drittanbietern zu massiven Reputationsschäden für das Auftraggeber-Unternehmen führt. Für deutsche Firmen bedeutet dies, dass ein aktives Vendor-Risk-Management unerlässlich ist. Es reicht nicht mehr aus, eine Bestätigung per E-Mail zu erhalten; technische Nachweise oder regelmäßige Audits der Datenlöschung werden zur Notwendigkeit.

Zudem unterstreicht der Vorfall die Relevanz des AI Act und anderer regulatorischer Rahmenwerke, die Transparenz und Sicherheit in der Software-Lieferkette fordern. Unternehmen, die auf automatisierte Logistik und KI-Analysen setzen, müssen sicherstellen, dass die eingesetzten Tools – wie im Fall von Metabase – keine kritischen Einfallstore bieten. Die Integration von Hardware-Sicherheit und physischem Datenschutz wird zu einem Wettbewerbsvorteil für Anbieter, die echte Souveränität über ihre Daten und die ihrer Kunden gewährleisten können.

Häufige Fragen

---

Quellen: Thehackernews, Yahoo, Breachhistory ·