347.000 Trezor-Nutzer von Phishing über Brevo-Datenleck betroffen

Trezor-Phishing-Angriffe haben 347.000 E-Mail-Adressen offengelegt, nachdem es bei Brevo, dem Drittanbieter für E-Mails des Unternehmens, zu einem Datenleck gekommen war, und 2.500 Nutzer betroffen, die auf einen schädlichen Link geklickt hatten, bevor dieser deaktiviert wurde, warnte das Unternehmen am Mittwoch.

Die Phishing-Nachrichten waren so gestaltet, dass sie wie ein kritischer Sicherheitsalarm aussahen. Laut Kunden, die sie erhielten, kamen die E-Mails von help@trezor.io und behaupteten, eine „Hardware-Mikrocontroller-Schwachstelle“ in den STM32-Mikrocontrollern, die in Trezor-Cold-Storage-Wallets verwendet werden, könne ihre Seed-Phrasen für Brute-Force-Angriffe angreifbar machen. Eine Hardware-Wallet ist ein kleines physisches Gerät, das die privaten Schlüssel für Kryptowährungen offline und fern von internetverbundenen Computern aufbewahrt, weshalb eine Warnung über ihren Chip sofort ernst erscheint. Der gefälschte Alarm forderte die Empfänger auf, auf einen Link zu klicken und eine App herunterzuladen, die sie dann aufforderte, ihr Wallet-Backup einzugeben – die geheime Wortliste, die eine Kryptowährungs-Wallet kontrolliert und jedem, der sie hat, Zugriff auf die Gelder ermöglicht. Trezor erklärt, sein Team habe die für die Phishing-Angriffe genutzte Domain innerhalb von 20 Minuten abgeschaltet, wodurch der Link deaktiviert und die Auswirkungen der Kampagne auf 2.500 Kunden begrenzt wurden, die bereits darauf geklickt hatten.

Trezor erklärte, dass Brevo am 9. September 2026 einen Sicherheitsvorfall erlitt, der 120 Brevo-Konten betraf. Ein unbefugter Akteur erlangte Zugang zu Brevos System und nutzte es, um E-Mails von verschiedenen Kundenkonten zu versenden, darunter auch das von Trezor. Der Vorfall betraf die Opt-in-Newsletter-Datenbank von Trezor mit rund 347.000 E-Mail-Adressen, und kein anderes Trezor-System wurde berührt. Trezor sperrte das Brevo-Konto, um den weiteren E-Mail-Versand zu stoppen, und warnte, dass die offengelegten Adressen künftig für weitere Phishing-Versuche genutzt werden könnten. Ein Drittanbieter für E-Mails ist ein externes Unternehmen, das ein Geschäft beauftragt, seine Marketing- und Newsletter-Nachrichten zu verwalten, sodass eine Kompromittierung dort Angreifern einen glaubwürdigen Kanal bieten kann, um gefälschte E-Mails unter einem bekannten Markennamen zu versenden.

Dies ist nicht das erste Mal, dass Trezor-Kunden in ein Datenleck bei einem Partner verwickelt wurden. Im Januar 2024 meldete Trezor ein weiteres Datenleck, nachdem sein Drittanbieter-Support-Ticketportal gehackt und von Angreifern Daten wie Namen, Benutzernamen und E-Mail-Adressen von rund 66.000 Nutzern gestohlen wurden. Im vergangenen Monat meldete Trezor außerdem ein Datenleck, nachdem Bedrohungsakteure ShipMonk, seinen Logistik- und Versanddienstleister, mithilfe einer kritischen Metabase-SQL-Injection-Zero-Day-Schwachstelle gehackt hatten. Dieser Angriff stahl Bestelldaten von Kunden, darunter vollständige Namen, Lieferadressen, E-Mail-Adressen und Telefonnummern. Trezor gab zunächst an, der Vorfall betreffe fast 14.000 Kunden, doch eine Nachuntersuchung ergab, dass weitere 67.000 US-Kunden betroffen waren, was die Gesamtzahl auf 81.000 Personen erhöht. Das Unternehmen erklärte, der Vorfall betreffe auch Kunden in Brasilien, Kolumbien, Italien, Portugal, Schweden und dem Vereinigten Königreich, die zwischen dem 10. Mai und dem 8. August 2026 Bestellungen erhalten hatten. Seitdem erfuhr BleepingComputer, dass ShipMonk nach diesem Datenleck Erpresser-E-Mails von der Erpresserbande ShinyHunters erhielt. Eine Zero-Day-Schwachstelle ist ein Fehler, den der Softwarehersteller noch nicht kennt, sodass keine Korrektur existiert, wenn Angreifer beginnen, sie auszunutzen. SQL-Injection ist eine Technik, bei der ein Angreifer schädliche Datenbankbefehle über ein Eingabeformular einschleust, um Daten zu stehlen oder zu verändern.

Für Website-Betreiber, Unternehmen und IT-Teams ist der Vorfall bei Trezor und Brevo eine Erinnerung daran, dass E-Mail-Listen und Kundendaten oft über Drittanbieter-Dienste fließen und diese Anbieter zum schwächsten Glied werden können. Phishing-Kampagnen, die auf einer echten Marke und einem echten Datenleck aufbauen, sind für Empfänger viel schwerer zu erkennen als gewöhnlicher Spam. Die Kombination aus einer gestohlenen Opt-in-Liste, einem gefälschten Absendernamen und einem falschen Sicherheitsalarm ist genau die Art von Nachricht, die Menschen dazu bringt, Kontozugangsdaten oder in diesem Fall Wallet-Backups herauszugeben. Organisationen können dieses Risiko verringern, indem sie prüfen, welche Drittanbieter in ihrem Namen E-Mails versenden dürfen, ungewöhnliche Kampagnenaktivitäten überwachen und eine strenge Authentifizierung für ausgehende E-Mails erzwingen. Für Unternehmen, die unabhängige Hilfe bei der Absicherung von Anbieterzugriffen und Sicherheitsprozessen wünschen, bietet AEU-I Security-first-IT, Infrastruktur und Beratung. Die praktische Lehre ist einfach: Kein legitimes Wallet- oder Sicherheitsteam wird Sie jemals auffordern, Ihre Seed-Phrase in eine App einzugeben.