Der Trezor „STM32 Entropy“ E-Mail-Code ist ein Betrugsversuch – eine echte Horrormeldung.

Öffnen Sie die E-Mail. Sie kommt von einer Adresse, die Sie schon einmal gesehen haben. Im Betreff steht „Kritische Sicherheitswarnung: STM32-Entropie-Vulnerabilität“. Es wird behauptet, dass die Ingenieure von Trezor ein Designfehler im Chip des Geldbörs gefunden haben – ein Viertel der Geräte könnte dadurch angegriffen werden. Zudem könnte Ihre Wiederherstellungsphrase nicht ausreichend zufällig sein. Am Ende der E-Mail befindet sich ein Link, mit dem man das Problem beheben kann. Dringend, konkret und alarmierend.

Klicken Sie nicht darauf. Dieses E-Mail ist der Angriff – nicht eine Warnung.

Die waffenierte Wahrheit

Die Nachricht ist falsch – doch die darin enthaltenen Beleidigungen sind nicht erfunden. Das E-Mail-Providering von Trezor wurde angegriffen, und Angreifer nutzten dieses System, um die Betrüger-Nachrichten über die legitime Infrastruktur des Unternehmens zu versenden.Er hat die Tests für SPF, DKIM und DMARC bestanden.Normalerweise signalisiert das einen echten Absender. Trezor hat den aktiven Domainnamen entfernt und erklärt, dass die E-Mail nicht von dieser Domain stammt. Dadurch werden die Empfänger gewarnt, keine Links anzuklicken.Keine Benutzermittel oder Geräte wurden kompromittiert..

Hier ist der Teil, der für Ihre Entscheidung wichtig ist. Die Angst ist zu groß – sie sollte nicht so groß sein, denn die dahinterstehende Geschichte ist an einem anderen Ort wahr. In einem Live-Exploit Anfang dieses Jahres gab es einen Firmwarefehler bei der Firma Coldcard, die die Bitcoin-Wallet herstellt.Die Schwächung der Zufälligkeit der Samen – von 128 Bit auf nur noch 40 Bit.Man kann es einfach mit brute-force-Methoden bearbeiten – ohne das Gerät überhaupt anzufassen.Die Schätzungen bezüglich der Summe betragenen von etwa 70 Millionen US-Dollar bis über 100 Millionen US-Dollar.Über die Wellen des Angriffs hinweg… Das STM32 ist die Chipsfamilie, die in vielen Hardware-Wallets verwendet wird. Entropie bedeutet die Zufälligkeit, die dazu führt, dass eine „Seeds“ erzeugt wird. Die Aussagen sind korrekt – der Speicher ist tatsächlich vorhanden. Der Phishing-E-Mail-Botnetzwerk versucht einfach, das echte Problem eines Konkurrenten auf den Namen von Trezor zu übertragen, um seine eigene Falschinformation als glaubwürdig erscheinen zu lassen.

Das ist der Mechanismus: Der Phishing-Angriff funktioniert nur, wenn das „Angebot“ ausreichend echt erscheint, um wie eine echte Warnung zu wirken. Der Angreifer, der es nicht schafft, die Sicherheitsmaßnahmen des Geräts zu umgehen, greift stattdessen den Menschen zu, der die Seed-Phrase hat.

Warum es in Ihren spezifischen Posteingang gelandet ist

Das Schreckliche ist nicht der E-Mail-Text selbst – sondern dass die Fälschung tatsächlich an die richtigen Leute gelangt ist. Das ist bereits das dritte Scheitern von Trezor mit Drittanbietern innerhalb eines Monats. Im August haben Partner von ShipMonk Namen, Telefonnummern und Adressen von Kunden preisgegeben. Anfang September gab Trezor außerdem bekannt…Außerdem wurden weitere 67.000 US-Kunden ausgesetzt.Kunden berichteten, dass sie Telefonanrufe von Fremden erhalten hatten, die ihren Namen kannten und über einen Hardware-Wallet verfügten.Physische Briefe mit QR-Codes darin.

Führen Sie die Schritte in der richtigen Reihenfolge aus – dann wird es kein Zufall mehr sein. Die Angreifer haben Ihre Kontaktdaten aus einer Sicherheitslücke gewonnen und anschließend eine Phishing-E-Mail an einen von Ihnen vertrauten Absender gesendet. In dieser E-Mail wurde die einzige Schwachstelle erwähnt – die Entropie – durch die die Menschen dieses Jahr bereits betroffen wurden. Das Gerät musste nicht einmal versagen. Die Datenleckage sowie das gestohlene Domainnamen des Absenders haben alle Arbeit erledigt. Selbst BitBox, ein separates Wallet-Produkt, warnte am selben Tag davor.Der Anbieter der Newsletter war wahrscheinlich das Ziel eines Angriffs.Das Muster zeigt auf eine gemeinsame E-Mail-Infrastruktur zwischen mehreren Krypto-Unternehmen – und nicht auf einen Fehler in einem einzelnen Wallet.

Was Sie heute Nacht tatsächlich kontrollieren können

Die Aufgabe eines Hardware-Wallets besteht darin, die privaten Schlüssel vor dem Internet zu schützen. Nichts in diesem Fall ändert etwas an der Situation mit Ihrem Trezor – oder mit jedem anderen Wallet. Denn die E-Mail ist falsch und Ihr Seed war nie in Gefahr. Die Schwachstelle liegt nicht im Chip selbst, sondern darin, dass das Wallet nicht zwischen Sie und die Entscheidung stehen kann: Sie müssen selbst entscheiden, ob Sie zwölf Wörter auf einer Webseite eingeben sollen oder nicht.

Bewerten Sie also den Handel genauso wie jedes andere Setup – benennen Sie das Ausgangspunkt, bevor Sie über das Eingangspunkt nachdenken.

1. Klicken Sie nicht auf den Link. Erhöhen Sie die Anrufe nicht.Die Wallet-Entwickler fragen nie nach Ihrem Recovery-Sound.Jedes Nachrichtenangebot, das das ist, ist per Definition ein Betrug.
2. Handeln Sie nur in den Kanälen, die Sie selbst öffnen.Geben Sie „trezor.io“ in den Browser ein – oder nutzen Sie die offizielle App. Vertrauen Sie niemals einem Link in einer E-Mail, der Sie überrascht hat.
3. Wenn Sie bereits eine „Samen“-Datei in eine verlinkte Seite eingefügt haben, dann wird dieses Wallet vernichtet.Übertragen Sie das Geld sofort in eine neue Wallets mit neuen Seed-Informationen. Aktualisieren Sie nichts, migrieren Sie nicht, „Resetten“ Sie nichts – migrieren Sie einfach.
4. Bei der Bewertung eines Hardware-Wallet-AnbietersBetrachten Sie die Exposition gegenüber Dritten als Auswahlkriterium – nicht als Nebenbemerkung. Der Chip ist nicht die „Angriffsfläche“, die im Jahr 2026 die Taschen der Verbraucher leer macht; es sind vielmehr die Anbieter des Herstellers sowie Ihre eigenen Reaktionen.

Ablaufdatum

Dieser spezielle Checkliste gilt nicht weiterhin, sobald das Phishing-Domain entfernt wird und der verletzte Anbieter identifiziert wird – das ist dann nur eine Art „Beseitigung“, keine wirkliche Lösung. Was jedoch nicht verliert seine Gültigkeit, ist das, was darunter steht: On-Chain-Diebstähle wie der von Coldcard werden in den Schlagzeilen erwähnt. Doch die tatsächlichen Verluste, denen die meisten Besitzer ausgesetzt sind, entstehen durch sozial engineering-Techniken, die sich als echte Geschichten oder geliehene Absenderadressen ausgeben.

Bevor Sie wieder irgendwelche „dringenden“ Sicherheitsmaßnahmen ergreifen, prüfen Sie erst einmal diese drei Dinge: Geht der Sender zurück zum Kanal, den Sie selbst eröffnet haben? Wird jemand nach dem Seed gefragt? Und existiert die angebliche Schwachstelle wirklich für Ihr Wallet – oder nur für das Wallet eines Konkurrenten? Die Antwort auf die letzte Frage ist der Grund, warum dieser Phishversuch fast erfolgreich war. Es ist auch der Grund, warum Sie jetzt wissen, dass es nicht funktionieren wird.