Trezor Datenleck!

[jahead]

Trezor hat auf X Bekanntgeben, dass sie ein Datenleck bei einem ihrer Versand-Dienstleister hatten, wobei D-A-CH bisher nicht erwähnt wird:





Übersetzung:

Wir haben einige schwierige Neuigkeiten zu teilen. Leider hat einer unserer Versanddienstleister einen Datenleak erlebt, der sensible Bestelldaten offengelegt hat. Dies betrifft neue Kunden in den USA, Großbritannien, Schweden, Kolumbien, Brasilien, Italien und Portugal, die innerhalb der 90 Tage vor dem 8. August 2026 eine Bestellung erhalten haben.

Die offengelegten Daten:
- Vollständige Namen
- Versandadressen
- Telefonnummern
- E-Mail-Adressen

Das Ereignis betrifft 11.742 Kunden mit vollständiger Offenlegung (Name, E-Mail, Telefonnummer, Versandadresse) und 1.947 Kunden mit teilweiser Offenlegung (Name, Stadt, E-Mail). Der Leak ist begrenzt aufgrund der strengen 90-Tage-Datenspeicherungsrichtlinie von Trezor (wir konnten auch mit den Erfüllungspartnern dieselben Bedingungen aushandeln, die derselben Richtlinie folgen).

Alle betroffenen Kunden wurden separat per E-Mail kontaktiert.
Unsere Systeme und Geräte bleiben sicher, aber betroffene Kunden könnten einen Anstieg von Phishing-Versuchen erleben.
GEBEN SIE SIE IHR WALLET-BACKUP NIEMALS AUF EINER WEBSITE EIN ODER TEILEN SIE ES MIT JEDEM, UND ÜBERPRÜFEN SIE NUR AUF OFFIZIELLEN TREZOR-KANÄLEN NACH UPDATES.
Wir bedauern dies zutiefst gegenüber der Community und den Betroffenen.
Wir untersuchen diese Situation und werden Updates auf unserem Blog posten:

Beitrag von Trezor auf X.
Beitrag auf der offiziellen Website.

edit:
Noch ein anderer Thread dazu:
Bitcoin Forum > Bitcoin > Development & Technical Discussion > Wallet software > Hardware wallets > Trezor customer data exposed

[5tift]

Oh man jetzt ist also Trezor dran mit suboptimalen Dienstleistern.
Da werden dann wohl wieder einige unschöne Scam Briefe erhalten.
Ja so wie ich es bis dato gelesen habe sind wohl keine DACH User betroffen, danke für teilen @jahead

[jahead]

Da werden dann wohl wieder einige unschöne Scam Briefe erhalten.

Davon würde ich ganz stark ausgehen, es werden auf jedenfall in einschlägigen Darknet-Foren schon nach Dumps angefragt, da werden die Hacker sicherlich mit den Daten ordentlich abcashen können, wenn sie denn nicht selbst versuchen zu scammen:


Quelle

Und ich hab mir ja vor ein paar Tagen erst einen neuen Trezor gekauft, von wegen Sicherheitsgefühl und Diversifikation...  
Vielleicht ist das ein schlechtes Omen, haha nein quatsch, aber trotzdem übertrieben nervig und scheinbar kracht und knallt es momentan an allen Ecken und Enden. 

[Unknown01]

So nervig! Da hätte auch ich betroffen sein können und hoffe jetzt echt, dass der deutschsprachige Raum nicht betroffen ist. Genau aus den Gründen sollte man wohl lieber bei Kryptogeschichten immer an ein Postfach senden lassen, wobei selbst die sind ja nicht anonymisiert.. einfach nur schwierig alles!

[Lakai01]

So nervig! Da hätte auch ich betroffen sein können und hoffe jetzt echt, dass der deutschsprachige Raum nicht betroffen ist. Genau aus den Gründen sollte man wohl lieber bei Kryptogeschichten immer an ein Postfach senden lassen, wobei selbst die sind ja nicht anonymisiert.. einfach nur schwierig alles!

Das bestätigt leider wieder: alle Systeme, die irgendwie online zugänglich sind, können gehacked werden. Trezor trifft hier natürlich keine Schuld, Datenlecks können leider überall aus den unterschiedlichsten Gründen passieren.

Wenn man wirklich sicher sein möchte hilft wohl nur Bargeld und ab zum Markt deines Vertrauens ... der Trezor stationär führt. In Wien wäre das bspw. über Alza möglich. Inwieweit die dann aber trotzdem Daten von dir speichern ist natürlich fraglich.

[Unknown01]

So nervig! Da hätte auch ich betroffen sein können und hoffe jetzt echt, dass der deutschsprachige Raum nicht betroffen ist. Genau aus den Gründen sollte man wohl lieber bei Kryptogeschichten immer an ein Postfach senden lassen, wobei selbst die sind ja nicht anonymisiert.. einfach nur schwierig alles!

Das bestätigt leider wieder: alle Systeme, die irgendwie online zugänglich sind, können gehacked werden. Trezor trifft hier natürlich keine Schuld, Datenlecks können leider überall aus den unterschiedlichsten Gründen passieren.

Wenn man wirklich sicher sein möchte hilft wohl nur Bargeld und ab zum Markt deines Vertrauens ... der Trezor stationär führt. In Wien wäre das bspw. über Alza möglich. Inwieweit die dann aber trotzdem Daten von dir speichern ist natürlich fraglich.

Da geht man das Risiko ein, dass vielleicht der Trezor, welcher im Regal steht, von irgendwem manipuliert worden sein könnte und anschließend wieder dorthin retour gebracht wurde. Man hat halt bei dieser Variante andere Risiken die man in Kauf nehmen muss.

[Lakai01]

Da geht man das Risiko ein, dass vielleicht der Trezor, welcher im Regal steht, von irgendwem manipuliert worden sein könnte und anschließend wieder dorthin retour gebracht wurde. Man hat halt bei dieser Variante andere Risiken die man in Kauf nehmen muss.

Ist natürlich ein bisschen ein Trade-Off, das stimmt schon.

Das Risiko ist aber gerade bei Trezor theoretisch:

• Die Verpackungen sind versiegelt, das Siegel müsste also ebenfalls geklont worden sein - ist zwar ein schwaches Hindernis, schließt aber den klassische "ich kauf mir einen Trezor, initialisiere den und stell den wieder zurück ins Regal" Angriffsvektor aus, da Max Mustermann keine gefälschten Siegel zur Verfügung haben wird
• Trezor initialisiert sich bei der ersten Verwendung selbst. Steckt man diesen also an und er ist schon initialisiert, hatte den schon jemand anders in der Hand. Entweder gibt man ihn dann zurück oder initialisiert ihn einfach neu - ich persönlich würde ersteres machen.
• Trezor prüft beim Start der Trezor Suite die Firmware am Gerät, stimmt diese nicht überein und/oder zeigt andere Signaturen, so wird der User auch darauf hingewiesen

Man muss also schon selber schwere Fehler begehen um hier Opfer eines Angriffs zu werden. Dass bei seriösen Händlern wie Alza die Lieferkette so einfach kompromittiert werden könnte, dass es jemand schafft, Alza komplett gefälsche Trezor-Geräte unterzujubeln, würde ich jetzt mal aussen vor lassen, das glaube ich eher nicht!

[jahead]

Und der nächste Versanddienstleister einer Hardware-wallet wurde Kompromittiert:



Ganzer Text:

Dear community,

While your SafePal wallet, seed phrase, and private keys are secure; we identified a flaw in the order-tracking plug-in that led to unauthorized access to information of a subset of customers.

The issue has been fixed with additional security measures introduced.

The incident impacts approximately 39,798 customers who placed orders between March 2, 2025 and April 11, 2026. Exposed information includes name, email address, shipping address, phone number, and purchase details.

All affected customers have been notified individually by email. We have also published this webpage https://safepal.com/scam-protection
 for customers to verify if they are affected using order ID number and shipping country.

For a complete disclosure of the incident and the actions we’ve taken, along with FAQs and guidance, please refer to our blog: https://safepal.com/blog/security-
update


This incident did not involve your seed phrase, private keys, wallet password, or other wallet credentials, bank account information, payment card numbers, or government-issued identification numbers.

Never share your seed phrase, private key, or password with anyone, and stay vigilant against phishing or impersonation attempts.

We are extremely sorry to the community and those who are affected. Updates will be posted on our blog as we continue to work through things.

SafePal wallet leaked customers data - Thread dazu hier im BTCtalk.

Zweiter Dump von einem Dienstleister, der im Zusammenhang mit einer Hardware-Walllet steht   KI machts möglich und bietet scheinbar auch immer mehr untalentierten Kräften die Möglichkeit sich Zugang zu sensiblen Daten zu verschaffen, welche Wallet/Anbieter triffts dann wohl als nächstes?   Das ist wirklich mehr als abturn.

[Lakai01]

[...]
Zweiter Dump von einem Dienstleister, der im Zusammenhang mit einer Hardware-Walllet steht   KI machts möglich und bietet scheinbar auch immer mehr untalentierten Kräften die Möglichkeit sich Zugang zu sensiblen Daten zu verschaffen, welche Wallet/Anbieter triffts dann wohl als nächstes?   Das ist wirklich mehr als abturn.

Ja, leider.
Wie an anderer Stelle schon geschrieben sind die KI-Modelle mittlerweile einfach enorm gut darin, Schwachstellen in Systemen zu finden ... und können dann in weiterer Folge auch schon fast "per Knopfdruck" ausgenutzt werden. Dazu braucht es weder tiefgreifendes Security-Know-How noch Unmengen an Zeit, wodurch die Anzahl solcher Schwachstellenausnutzungen definitiv noch weitergehen wird.

Es liegt wohl hier vermehrt an den Dienstleistern schneller als die Angreifer zu sein und die Modelle selber auf die eigenen Systeme loszulassen um die Schwachstellen schnellstmöglich zu fixen. Das kostet im Gegenzug aber dann tatsächlich Zeit und Ressourcen ... 

[Koal-84]

Was ist denn da schon wieder los? Auch wenn Trezor hier vermutlich keine Schuld trifft, finde ich es langsam wirklich beängstigend, wie häufig solche Hacks mittlerweile vorkommen. Am sichersten ist es wohl immer noch, sich eine Hardware Wallet direkt bei Media Markt oder einem anderen Händler vor Ort zu kaufen und BAR zu bezahlen. Dann ist das Risiko zumindest deutlich geringer.

[mole0815]

Trezor und SafePal.
Da wird es bald wieder Nachschub im Vorsicht Scammer - Finger weg! - Thread geben.

Zumindest informieren die betroffenen Firmen ihre Kunden asap und versuchen nicht etwas zu verschweigen.
Würde 1. sowieso nicht wirklich funktionieren und 2. wäre das noch schlimmer. Durch die Warnung werden hoffentlich so viele Betroffene wie möglich sensibilisiert und können entsprechend richtig reagieren, wenn die ersten Mails, Anrufe oder Briefe auftauchen.

Jedes System in der Kette ist ein Risiko und egal wie gut man sich absichert ist sowas leider nie zu 100% ausgeschlossen.
Wenn ich mir ansehe, was der Ledger-Leak damals für Scamwellen losgetreten hat tun mir die Betroffenen schon jetzt leid.