Die Phishing-Angriffe mit Trezor haben einen Anbieter getroffen – nicht den Safe selbst. Und das ist die ganze Lektion für Investitionen.

Am späten Mittwochabend kam eine E-Mail an.347.000 E-Mail-InboxDas schien von dort zu kommen zu sein.help@trezor.ioBetreffzeile: „Kritische Sicherheitswarnung: Schwachstelle im STM32-Entropy-Modul.“ Die Nachricht informierte die Inhaber von Hardware-Wallets darüber, dass ihr Mikrocontroller eine Schwachstelle hatte, die Hacker nutzen könnten, um den Wiederherstellungscode zu knacken. Sie wurden gebeten, einen Link anzuklicken und eine App herunterzuladen, um sich zu aktualisieren. Trezors Antwort war einfach:Die E-Mail stammte nicht von ihnen.Es handelte sich um einen Phishing-Angriff – und dieser wurde über das legitime Domainnetzwerk von Trezor sowie über den Drittanbieter für E-Mail-Dienste, Brevo, durchgesetzt.

Bevor die Angst sich ausbreitet, muss man die verschiedenen Aspekte dieser Situation bewerten. Es gibt einen Unterschied zwischen einem Versagen der Kryptografie und einem Problem im Lieferkettenprozess. Die richtige Bezeichnung entscheidet darüber, worüber ein Investor sich eigentlich Sorgen machen sollte. Nach den von Trezor veröffentlichten Daten hat das Gerät seine Funktion weiterhin erfüllt – keine Trezor-Geldbörse, keinen Account oder Produktssystem wurde beeinträchtigt.– Nur der Newsletter-Prozess.Das saß neben ihnen.

Die Ausstellung: eine Liste der Händler – kein Schatzkammer.

Der Betrug nutzte Brevo – eine in Paris ansässige E-Mail-Marketing-Plattform, auf die Trezor für die Zustellung von Newslettern, die Verwaltung der Liste der Nutzer sowie die Anmeldung auslöschen verlässt. In der eigenen Postmortem-Analyse beschrieb Brevo die Art des Angriffs: Die Angreifer stahlen die Anmeldeinformationen von legitimen Benutzern und nutzten dabei eine Sicherheitslücke im System aus. Der Anbieter behauptete anfangs, dass 120 Kundenkonten betroffen waren – später korrigierte er dies jedoch.138 im Nachhausegang; sechs dieser Konten wurden verwendet, um Phishing-Mails an die gespeicherten Kontakte zu senden. Außerdem wurden Konten aus 43 Konten exportiert.Trezor, BitBox und CoinTracking – drei Kryptowährungsunternehmen, die denselben Anbieter nutzen – haben alle bestätigt, dass ihre Abonnenten in derselben koordinierten Welle angegriffen wurden.

Für den Trezor war die sichtbare Oberfläche seine opt-in-Newsletter-Datenbank – also eine Datenbank, in der die Anfragen der Nutzer gespeichert wurden.347.000 E-Mail-Adressen – die das Unternehmen nun als bekannt für den Angreifer betrachtet.Trezor behauptet, dass seine eigenen Systeme nicht angegriffen wurden und dass die Brevo-Plattform keine Passwörter, Walletdaten oder persönliche Informationen enthält.

Der wichtige operativen Aspekt ist die Antwortzeit. Trezor behauptet, dass der bösartige Domain innerhalb von 20 Minuten auf der DNS-Ebene gelöscht wurde. Dadurch konnte der Link für die meisten Empfänger nicht funktionieren.Etwa 2.500 Menschen haben auf das Content geklickt, bevor es entfernt wurde.Trezor hat sein Brevo-Konto eingestellt, um weitere Sendungen zu verhindern. Zudem überprüft das Unternehmen seine Lieferantenbeziehungen sowie die Sicherheitsanforderungen.

Das ist der zweite Angriff auf den Trezor-Anbieter innerhalb weniger Monate. Das Unternehmen gestaltet seine Strategie entsprechend. Im August haben Angreifer eine kritische SQL-Injection-Lücke in der Metabase-Analyse-Software ausgenutzt – diese Software wird von dem Logistikdienstleister von Trezor, ShipMonk, verwendet. Eine Erpresserbande forderte den Anbieter dazu auf, bestimmte Zahlungen zu leisten. Dieser Angriff hat die Schwachstelle offengelegt.Rund 81.000 KundenNamen, E-Mail-Adressen, Telefonnummern und Versandadressen – eine Anzahl von etwa 11.700 Stück.Weitere 67.000 US-KundenEs wurde eine Woche vor dem E-Mail-Incident bekanntgegeben. Bereits im Jahr 2024 war das Third-Party-Support-Ticketportal von Trezor ebenfalls angegriffen worden.

Was eine Verletzung durch den Anbieter nicht ist…

Die ehrliche Betrachtung dieses Vorfalls ist fast das Gegenteil von dem, was in der Phishing-E-Mail behauptet wurde. Die Phishing-Angriffe basierten auf einer tatsächlich existierenden technischen Schwachstelle – einer Entropie-Schwäche des STM32-Mikrocontrollers, die dazu führen könnte, dass die Schlüssel verloren gehen. Doch die Konstruktion des Geräts mit kaltem Speicher ist genau das, was nicht fehlschlug. Bei einem ordnungsgemäß funktionierenden Hardware-Wallet wird der Wiederherstellungs-Schlüssel erzeugt und auf dem Gerät gespeichert – und kommt niemals über das Internet. Eine Phishing-E-Mail kann diesen Schlüssel daher nicht abrufen. Die Schwachstelle, von der in der E-Mail gesprochen wurde, ist genau das, was das Gerät dazu dient, zu verhindern.

Der eigentliche Schaden ist also nicht kryptografischer Natur – es handelt sich auch nicht um einen Diebstahl von Geldern im üblichen Sinne. Es handelt sich vielmehr um einen Angriff auf das Vertrauen der Kunden. Dieses Vertrauen ist die gesamte wirtschaftliche Grundlage der Hardware-Wallets. Eine Hardware-Wallet ist ein Gerät, dessen Wert etwa hundert Dollar beträgt. Die Wertigkeit dieses Produkts liegt nicht im Silizium selbst, sondern in dem Glauben des Kunden, dass das Unternehmen sowie seine Infrastruktur zuverlässige Hüter eines Geheimnisses sind, das alle gesammelten Ersparnisse zerstören könnte.

Deshalb ist die Lieferkette – nicht der Chip – die eigentliche Gefahr für diesen Sektor. Die „2026-Welle“ von Drittanbieter-Problemen betrifft die verschiedenen Elemente rund um das Gerät: den Versandpartner mit Ihren Namen und Adresse, die E-Mail-Plattform mit Ihrem Posteingang, das Support-Portal mit Ihren Accountdaten. Jedes dieser Elemente kann dazu dienen, überzeugende, gefälschte Kommunikation zwischen dem Benutzer und seinem Wallet zu ermöglichen. Der Kriminelle muss keine Kryptografie anwenden, um Nutzen zu erzielen – es ist viel günstiger, den Opfer dazu zu bringen, ihre Passwörter in eine überzeugende Fälschung einzugeben.

Warum ein Retail-Investor sich darüber überhaupt interessieren sollte

Trezor ist der Pionier dieser Kategorie – er gehört zu den Eigentümern von SatoshiLabs. Deshalb gibt es keinen Aktienkürzel, mit dem man kaufen könnte, und auch keinen Preis, auf den man achten müsste. Der Investitionswert von Trezor dient als Maßstab für eine Branche, die nun auf den öffentlichen Markt zusteuert. Ledger, der größte Konkurrent in dieser Kategorie, hat Investitionsbanken beauftragt, eine Listing in den USA zu prüfen – dadurch könnte der Wert des Unternehmens gestärkt werden.über 4 Milliarden DollarMehr als das Doppelte des Preises aus dem Finanzierungsrunden im Jahr 2023 – nämlich 1,5 Milliarden Dollar. Wenn die Wirtschaft der Hardware-Wallets auf den öffentlichen Markt kommt, dann ist das wichtige Maß nicht der Volumenumsatz, sondern die Langlebigkeit des Vertrauens: Wie viele Kunden glauben immer noch, nach dem dritten Datenleck innerhalb von vier Wochen, dass es sich lohnt, ihre gesamten Ersparnisse in einem Plastik- und Metallgerät zu speichern?

Aus diesem Grund ist dieser Vorfall eine nützliche Erfahrung – schließlich ist der Weg des Ängers ein einfacher, während der Weg der Beweise nicht so einfach ist. Die positive Situation für den Sektor – die zunehmende Nachfrage nach eigenen Kryptowährungen in einem Zustand von Neutralität bis früher Anfang – entsteht nicht aufgrund von Phishing-E-Mails. Die wiederholten Sicherheitsverletzungen durch Anbieter stellen tatsächlich eine Herausforderung für das Vertrauen dar – aber es handelt sich dabei um eine Herausforderung, keine Veränderung in den physikalischen Gesetzen.

Bedingung für die Pause

Es gibt ein Faktum, das diese Interpretation widerlegen könnte: Wenn irgendwelche dieser Vorfälle Beweise dafür liefern, dass die Recovery-Samen oder private Schlüssel tatsächlich auf größerer Skala veröffentlicht wurden – oder wenn Trezor offenlegen muss, dass seine eigenen Systeme, nicht die eines Anbieters, angegriffen wurden – dann ist die Bedingung für den Ausfall erfüllt. Die These, dass „der Vertrauensvorschuss erhalten bleibt“, ist somit nicht mehr gültig. In den Enthüllungen bezüglich des Brevo-Produkts gibt es keine Anzeichen dafür, dass dies tatsächlich geschehen ist. Das Design des Geräts blieb unverändert. Was durch den Angriff enthüllt wurde, waren nur Metadaten über die Kontaktaufnahmen sowie eine gewisse Panik unter den 2.500 E-Mails.

Bis diese Ausnahmebedingung eintritt, sollte das Problem so behandelt werden, wie es die Unterlagen zeigen: Es handelt sich dabei um eine Verletzung durch einen Anbieter – eine Verletzung, die ausführlich dokumentiert ist. Dabei wurde das „weiche“ Gut der Vertrauensbasis beschädigt, ohne das „harte“ Gut der Schlüssel zu beeinflussen. Diese Unterscheidung ist die ganze Lehre bezüglich der Investitionen – und sie kann in wenigen Minuten überprüft werden, indem man die Informationen von Trezor einsehen und herausfindet, was und was nicht behauptet wird.