Trezor Datenleck!

[Lakai01]

Der Scheiss nervt mich langsam. Also muss ich mich scheinbar doch zum Lötkolben-Seminar anmelden...  

Nicht nur dich, es ist echt mühsam. Ich war damals - wie einige andere hier - auch beim Ledger Datenleck betroffen, da schläft man die ersten Tage gleich mal unruhiger wenn man weiß, dass "Gott und die Welt" nun deine Wohnanschrift kennt und auch weiß, dass du einen Ledger zu Hause hast. Habe mich damals echt grün und blau geärgert als ich gesehen habe, dass ich ebenfalls im Datensatz auftauche, war dann wohl der Moment, als ich innerlich auch mit Ledger abgeschlossen habe ... 

[jahead]

[...]
Vor diesem Dantenleck gab es das schon einmal. Das war im Jahr 2024 und damals waren es etwas weniger Daten "66.000", diesmal sind es ca. 80.000. Aber auch dort gab es eine Situation, welche bestätigt hat, dass sie die Daten nicht nach 90 Tagen löschen, weil die Zeitachse +-5 Jahre war, wo die Daten erhoben wurden. Danach gab es natürlich Phishing-Mails um die Recovery Seeds zu entlocken.
[...]

Hatte ich nicht auf dem Schirm und potenziert meine schlechte Laune im Bezug auf Trezor einfach mal um ein vielfaches, wieder zu versagen und aus alten Fehlern nicht gelernt zu haben und das mit Ansage - das ist schon Fahrlässig, wenn nicht Vorsatz. 

[...] Nicht nur dich, es ist echt mühsam. Ich war damals - wie einige andere hier - auch beim Ledger Datenleck betroffen, da schläft man die ersten Tage gleich mal unruhiger wenn man weiß, dass "Gott und die Welt" nun deine Wohnanschrift kennt und auch weiß, dass du einen Ledger zu Hause hast. Habe mich damals echt grün und blau geärgert als ich gesehen habe, dass ich ebenfalls im Datensatz auftauche, war dann wohl der Moment, als ich innerlich auch mit Ledger abgeschlossen habe ... 

Ufff,... das kann ich zu 100% nachvollziehen, gerade wenn man sich die ganzen Horror-Stories aus Frankreich in Relation dazu reinzieht, dort scheint es dieses und letztes Jahr ein Hotspot für physische Raubtaten, inkl. Folter und Totschlag gegeben zu haben.  Und dann seine eigenen persönlichen Daten im WWW  in dem Kontext zu finden,... 

[Lakai01]

Hatte ich nicht auf dem Schirm und potenziert meine schlechte Laune im Bezug auf Trezor einfach mal um ein vielfaches, wieder zu versagen und aus alten Fehlern nicht gelernt zu haben und das mit Ansage - das ist schon Fahrlässig, wenn nicht Vorsatz. 

Man ist wohl tatsächlich nicht davor gefeit, dass Daten an die Öffentlichkeit kommen die nicht nach aussen dringen sollten, wenn man sich nicht selbst um alles kümmert - bspw. in der Art und Weise, wie VirginOrange das vorgestellt hat. Ist halt leider gleichzeitig auch nur für einen Bruchteil der eh schon kleinen Crypto-Community überhaupt geeignet.

Ich hatte bisher bei Trezor eigentlich ein recht gutes Gefühl, die (neuerlichen) Leaks mit der Beteuerung, nichts davon gewusst zu haben, dass der Subunternehmer die Daten nicht löscht, hinterlassen aber durchaus einen sehr fahlen Beigeschmack. Natürlich nach wie vor um Welten weniger als Ledgers "wir können den Private Key doch extrahieren"-Ansage damals.

[Real-Duke]

dass der Subunternehmer die Daten nicht löscht

Es ist vor allem immer wieder der selbe Dienstleister "ShipMonk" der hier für jeden einzelnen der Vorgänge verantwortlich zu sein scheint.
Da kratzt man sich doch als normalo am Kopf und fragt sich, warum Trezor über all diese Jahre hinweg weiter an dem Dienstleiter festhält oder festhalten muss?

Spätetestens nach dem zweiten Vorfall hätten die auf jeden Fall die rote Karte sehen müssen!

[jahead]

[...]
Es ist vor allem immer wieder der selbe Dienstleister "ShipMonk" der hier für jeden einzelnen der Vorgänge verantwortlich zu sein scheint.
Da kratzt man sich doch als normalo am Kopf und fragt sich, warum Trezor über all diese Jahre hinweg weiter an dem Dienstleiter festhält oder festhalten muss?

Spätetestens nach dem zweiten Vorfall hätten die auf jeden Fall die rote Karte sehen müssen!

DANKE! - Genau das meinte ich ja, da kann man Trezor doch schon fast Vorsatz vorwerfen, wieder gleicher Versanddienstleister und wieder und noch immer keine Kontrolle über die Dauer der Datenerhebung beim Vertrieb aka ShipMonk... 

Ich werde mir auf jeden Fall die Bitbox2 nochmal im Detail anschauen und deren Historie als Firma & Entwickler, und mir bei einem positiven Eindruck so eine hardware-Wallet kaufen. Die Nutzen auf jedenfalls DHL und UPS, wobei die Frage ist, ob die den Vertrieb insgesamt In-House gestalten oder das auch wie so viele "günstig" outsourcen?! 

[Real-Duke]

Ich werde mir auf jeden Fall die Bitbox2 nochmal im Detail anschauen

Auch wenn das jetzt etwas blöd klingt, werde ich mich trotz der Vorfälle nicht (schon wieder) nach einer neuen Hardware Alternative umsehen.
Unsere Trezore sind soweit ich weiß sicher und wir hier sind soweit ich das überblicken kann, alle nicht von den vergangenen Vorgängen betroffen.

Wenn wir morgen einen negativen Bericht dazu über Amazon zu lesen bekommen, schwenke ich aber wahrscheinlich auch um
Mit dem Lötkolben kann ich aber überhaupt nicht um....

[jahead]

[...]
Auch wenn das jetzt etwas blöd klingt, werde ich mich trotz der Vorfälle nicht (schon wieder) nach einer neuen Hardware Alternative umsehen.
Unsere Trezore sind soweit ich weiß sicher und wir hier sind soweit ich das überblicken kann, alle nicht von den vergangenen Vorgängen betroffen.
[...]

Nein, ich hör Dich und bin da total bei Dir - so war es von mir auch garnicht gemeint, die Betrachtung meinerseits und das kleinteilige ansehen der Bitbox2 soll nicht darin enden, dass ich den Trezor ersetzen möchte. Es geht mir eher darum, meine Kollektion an Hardwarewallets zu erweitern, aus Neugier an der Technik und wegen des Spaßes an der Sache.   Mag jetzt vielleicht komisch klingen, aber Krypto kann auch viel langweilig sein und da ist neue Hardware und die Interaktion eine willkommene Gelegenheit.  

An anderer Stelle hatte ich ja auch schon erwähnt, dass sobald ein gewisser €uro-Betrag auf einer Wallet liegt, ich es ab sofort so handhaben will, dass ich die Coins rebalance um mein Risiko zu diversifizieren.  

[jahead]

Kein Zusammenlegen der Postings - für ein bump, da wichtig:

Erneuter Vorfall bei Trezor, es sollen keine offiziellen E-Mails von Trezor mit dem Betreff:
‘Critical Security Alert: STM32 Entropy Vulnerability’
geöffnet werden bzw. Keine Links darin geklickt werden, da ihr E-Mailprovider gehackt wurde.  


Quelle auf X der Beitrag.

Ich hatte es auch schon an anderer Stelle betont, dass Hacks etc mit KI für viele noch einfacher werden, auch Laien...  
Es hört aktuell einfach nicht auf mit den schlechten Nachrichten.

[Lakai01]

Ich hatte es auch schon an anderer Stelle betont, dass Hacks etc mit KI für viele noch einfacher werden, auch Laien...  
Es hört aktuell einfach nicht auf mit den schlechten Nachrichten.

Du meine Güte ... Dieser Phishing-Angriff ist aber echt gefährlich, da das klassische "kommts eh wirklich vom richtigen Absender" nicht mehr als Prüfkriterium reicht. In Kombination mit den geleakten Mailadressen der Kunden, die tatsächlich ein Produkt von Trezor gekauft haben, ist das ja schon fast eine Goldmine für die Angreifer ...

Das Thema mit der KI und der einfacheren "Hackbarkeit" der Systeme stimmt ebenfalls, es kommen ja mittlerweile nahezu täglich solche Meldungen an die Öffentlichkeit. Gleichzeitig wundert es mich aber auch, dass die Betreiber solcher Dienste nicht ebenfalls die Systeme nutzen, um sich selber besser abzusichern. Ist natürlich ein Katz-und-Maus-Spiel, aber allzu leicht braucht man es den Angreifern heutzutage absolut nicht mehr machen ...

[MinoRaiola]

Ich hatte es auch schon an anderer Stelle betont, dass Hacks etc mit KI für viele noch einfacher werden, auch Laien...  
Es hört aktuell einfach nicht auf mit den schlechten Nachrichten.

Es muss nicht immer ein Fehler im System sein, es kann auch mal ein eX Mitarbeiter sein, der im schlechten gegangen ist und etwas zurück gelassen hat. Ein Insider bei Scams/hacks ist nicht selten, wer weiß ob da Trezor nicht auch zu kämpfen hat.

Das Thema mit der KI und der einfacheren "Hackbarkeit" der Systeme stimmt ebenfalls, es kommen ja mittlerweile nahezu täglich solche Meldungen an die Öffentlichkeit. Gleichzeitig wundert es mich aber auch, dass die Betreiber solcher Dienste nicht ebenfalls die Systeme nutzen, um sich selber besser abzusichern. Ist natürlich ein Katz-und-Maus-Spiel, aber allzu leicht braucht man es den Angreifern heutzutage absolut nicht mehr machen ...

Die Zukunft, die wir dann nicht vollständig unter Kontrolle haben: KI-Firmen „setzen unser aller Leben aufs Spiel“

Jacob Coxon trainierte KI-Modelle für Anthropic – jetzt hat er gekündigt

https://www.bild.de/politik/ausland-und-internationales/ex-mitarbeiter-von-anthropic-warnt-ki-firmen-setzen-unser-aller-leben-aufs-spiel-6aa1229e639d45f0a23cf076

[Lakai01]

Die Zukunft, die wir dann nicht vollständig unter Kontrolle haben: KI-Firmen „setzen unser aller Leben aufs Spiel“

Jacob Coxon trainierte KI-Modelle für Anthropic – jetzt hat er gekündigt

https://www.bild.de/politik/ausland-und-internationales/ex-mitarbeiter-von-anthropic-warnt-ki-firmen-setzen-unser-aller-leben-aufs-spiel-6aa1229e639d45f0a23cf076

Ja, das ist für alle, die in dem Bereich arbeiten, leider auch keine große Überraschung was Coxon (und mittlerweile auch einige andere Forscher auf diesem Gebiet) bestätigt haben: Es ist ein Run, wer als erstes die "Superintelligenz" erschaffen wird. Coxon gibt dabei aber auch unverblümt zu, dass man es jetzt schon einfach nicht schafft, die Systeme auch nur halbwegs im Zaum zu halten. Zu glauben, man könnte dann eine Superintelligenz kontrollieren, ist in diesem Zusammenhang dann doch recht blauäugig.

Ich habe dazu auch einen Beitrag auf X gesehen dazu. Dort hat jemand ein System gefragt, ob es tatsächlich imstande wäre, spätestens 2030 die Menschheit auszulöschen. Das System antwortete sinngemäß, dass das absolut nicht stimmt ... das wird frühestens 2032 möglich sein Terminator lässt grüßen.


Zwar jetzt etwas offtopic aber auch Cointracking hats erwischt:

Liebe CoinTracking Nutzerin,
Lieber CoinTracking Nutzer,

am 9. September hat sich ein unbefugter Dritter Zugang zu unserem Konto bei unserem E-Mail-Provider Brevo verschafft und eine Phishing-Mail an einen Teil unserer Nutzer verschickt. Sie schien von support@cointracking.info zu kommen und nutzte unser Design, stammt aber nicht von uns.

Die gefälschte Mail trägt den Betreff „Data Breach Notice: Please refresh API Keys as soon as possible", behauptet ein „Datenleck vom Januar 2026" mit kompromittierten xPub-Keys und fordert Sie auf, über redirect-cointracking.com „neue Keys zu generieren". Nichts davon stimmt, und die Domain gehört nicht uns.

Die Mails habe ich bekommen, natürlich auf die bei Cointracking registrierte Mailadresse. Meine Begeisterung hält sich in Grenzen.

[Real-Duke]

Ich hatte es auch schon an anderer Stelle betont, dass Hacks etc mit KI für viele noch einfacher werden, auch Laien...  
Es hört aktuell einfach nicht auf mit den schlechten Nachrichten.

Ja im Augenblick nehmen die schlechten Nachrichten leider echt kein Ende...und immer ist Trezor im Moment involviert
Gut, auf eine Phishing Mail fällt hier von uns so schnell niemand mehr rein, aber was ist mit den einfachen Nutzern da draußen die nicht ständig die Neuigkeiten rund um Krypto verfolgen?

Zwar jetzt etwas offtopic aber auch Cointracking hats erwischt:

Na sauber, habe ich auch eben drüben im Thread gesehen! Man könnte fast meinen, dass es nur sicher klappen kann "wenn man alles selber macht".
Überall sind Externe Diesntleister im Spiel und anscheinend so gut wie immer das Problem.

[MinoRaiola]

Ja, das ist für alle, die in dem Bereich arbeiten, leider auch keine große Überraschung was Coxon (und mittlerweile auch einige andere Forscher auf diesem Gebiet) bestätigt haben: Es ist ein Run, wer als erstes die "Superintelligenz" erschaffen wird. Coxon gibt dabei aber auch unverblümt zu, dass man es jetzt schon einfach nicht schafft, die Systeme auch nur halbwegs im Zaum zu halten. Zu glauben, man könnte dann eine Superintelligenz kontrollieren, ist in diesem Zusammenhang dann doch recht blauäugig.

Ich habe dazu auch einen Beitrag auf X gesehen dazu. Dort hat jemand ein System gefragt, ob es tatsächlich imstande wäre, spätestens 2030 die Menschheit auszulöschen. Das System antwortete sinngemäß, dass das absolut nicht stimmt ... das wird frühestens 2032 möglich sein Terminator lässt grüßen.

Der Krieg der Menschen gegen die Maschinen findet in der Zukunft im Jahr 2029 statt. Also 1-3 Jahre verrechnet in 2003 

Na sauber, habe ich auch eben drüben im Thread gesehen! Man könnte fast meinen, dass es nur sicher klappen kann "wenn man alles selber macht".
Überall sind Externe Diesntleister im Spiel und anscheinend so gut wie immer das Problem.

Evtl. wird das zukünftig stets aktuell sein. Auch privat sollte man sich besser absichern, wenn es um Passwörter oder Zwei-Faktor-Authentifizierung (2FA) geht. Mit Hilfe KI wird die kriminelle Energie stärker/schneller und man muss/sollte sich besser schützen. Ich kann mir gut vorstellen, das wir alle in den kommenden Jahren positive wie negative Erfahrungen damit sammeln werden.

[jahead]

[...]
Evtl. wird das zukünftig stets aktuell sein. Auch privat sollte man sich besser absichern, wenn es um Passwörter oder Zwei-Faktor-Authentifizierung (2FA) geht. Mit Hilfe KI wird die kriminelle Energie stärker/schneller und man muss/sollte sich besser schützen. Ich kann mir gut vorstellen, das wir alle in den kommenden Jahren positive wie negative Erfahrungen damit sammeln werden.

Bei der rasanten Entwicklung von KI, werden mit großer Sicherheit erstmal die negativen Erfahrungen überwiegen, da sich immer mehr und größere Verunsicherung breit macht und das bei Usern, die den Umgang mit Hardware und Krypto schon gewohnt sind, das muss man nochmal erwähnen, wenn man nicht up2date ist, würde man auf die Phishing-Mails zu 100% reinfallen.

Bei X wurde bekannt gegeben, dass Brevo der Newsletter-Anbieter das Problem wohl selbst verursacht hat und ihre Datenbanken schlecht programmiert waren, sodass offiziell angemeldete User auf Accounts von anderen zugreifen konnten. Es wurden von 6 Accounts Phising-Mais Versand und bei 43 weiteren Kunden die Daten und Listen abgegriffen...