Was ShipMonk offenlegte, und wann

Am 13. August 2026 teilte Trezor seinen Kunden mit, dass ShipMonk, der externe Lager- und Versanddienstleister, den Trezor für die Abwicklung von Hardware-Wallet-Bestellungen nutzt, es drei Tage zuvor, am Montag, den 10. August, über unbefugten Zugriff auf Systeme mit Kundendaten informiert hatte. Die Offenlegung betrifft Bestellungen zwischen dem 10. Mai und dem 8. August 2026: Bei 11.742 Kunden wurden vollständiger Name, E-Mail-Adresse, Telefonnummer und Lieferadresse offengelegt, bei weiteren 1.947 wurde ein engerer Datensatz aus Name, Stadt und E-Mail-Adresse entwendet.

Die betroffenen Kunden verteilen sich auf mindestens sieben Länder: die USA, Großbritannien, Schweden, Kolumbien, Brasilien, Italien und Portugal. Trezor erklärte, jeden betroffenen Kunden direkt per E-Mail benachrichtigt zu haben, und wer keine Mitteilung erhalten habe, sei nicht betroffen.

Dieselbe Schwachstelle, ein anderes Opfer

ShipMonk teilte Trezor und den eigenen Kunden mit, der Einbruch gehe auf eine SQL-Injection-Schwachstelle in Metabase zurück, jener Business-Intelligence-Plattform, die viele Unternehmen an ihre operativen Daten anbinden, um interne Dashboards zu betreiben. Bemerkenswert ist das, weil eine separate Vorfallswelle Anfang dieses Monats bei Framework, Tally und LexisNexis auf dieselbe zugrunde liegende Metabase-Schwachstelle zurückging, wobei Angreifer über einen nicht authentifizierten Passwort-Reset-Endpunkt nacheinander Administratorzugriff auf die jeweilige Instanz jedes Unternehmens erlangten.

ShipMonk bestätigte zudem, Erpressungs-E-Mails von ShinyHunters erhalten zu haben, einer Gruppe, die SaaS- und BI-Plattform-Einbrüche erfahrungsgemäß mit direkten Zahlungsforderungen an das betroffene Unternehmen nachsetzt, statt die Daten nur still weiterzuverkaufen oder zusätzlich dazu. Trezor stellte klar, dass die eigene Hardware, Firmware und die Kontosysteme zu keinem Zeitpunkt betroffen waren: ShipMonk verfügte nur über die Versanddaten, die Trezor zur Zustellung eines Pakets weitergegeben hatte, und Trezor bezeichnete dies als den ersten Vorfall seit der Gründung 2013, bei dem Telefonnummern und Lieferadressen von Kunden offengelegt wurden.

Warum eine Lieferadresse hier mehr wert ist als ein Passwort

Die meisten Dienstleister-Datenlecks dieser Art werden unter derselben Überschrift abgelegt: mit überzeugenderen Phishing-Mails rechnen. Diese Einordnung unterschätzt, was an einer Versandliste anders ist, die an eine Hardware-Krypto-Wallet-Bestellung gekoppelt ist. Jeder Name darauf ist ein verifizierter, adressbestätigter Besitzer von Krypto-Hardware zur Selbstverwahrung, eine Kombination, die Kriminelle bei der Suche nach persönlichen Zielen normalerweise nicht aus einer gestohlenen SaaS-Kundenliste, einem geleakten Forendump oder reiner On-Chain-Analyse gewinnen können.

Chainalysis, das Blockchain-Analyseunternehmen, das kryptobezogene Kriminalität verfolgt, dokumentiert eine zunehmende Serie gewaltsamer, persönlicher Angriffe auf Krypto-Besitzer, sogenannte Wrench-Attacks, Entführungen, Wohnungseinbrüche und Nötigung, die gezielt deshalb verüben werden, weil das Opfer bekanntermaßen oder vermutlich wiederherstellbare digitale Vermögenswerte besitzt. Chainalysis beziffert den bei diesen physischen Angriffen gestohlenen Wert allein im ersten Halbjahr 2026 auf über 30 Millionen Dollar, bereits auf Kurs, die rund 58 Millionen Dollar des gesamten Jahres 2025 zu übertreffen. Eine Liste, die einem Angreifer einen Namen, eine Wohnadresse und den handfesten Nachweis eines Hardware-Wallet-Besitzes liefert, ist genau der Rohstoff, von dem dieser Trend lebt.

Wo das Standardvorgehen zu kurz greift

Der erste Reflex nach einem solchen Vorfall ist die Anti-Phishing-Checkliste: auf gefälschte Zustell-SMS achten, keine unerwarteten Links anklicken, jede Aufforderung zur Adressbestätigung vor einer Antwort prüfen. Diese Schritte sind wichtig, beantworten hier aber das falsche Bedrohungsmodell. Phishing zielt auf einen Bildschirm. Ein Wrench-Angriff zielt auf eine Haustür, und keine noch so gute E-Mail-Hygiene ändert daran etwas, wer nun die echte Adresse eines Kunden zusammen mit dem Nachweis des Wallet-Besitzes vorliegen hat.

Die sinnvollere Reaktion für alle auf Trezors betroffener Liste ist physisch, nicht digital: unangekündigten persönlichen Kontakt, Anrufer, die sich als Zusteller, Techniker oder Beamte ausgeben, mit derselben Skepsis behandeln wie eine Phishing-Mail, öffentlich keine Krypto-Bestände bestätigen, die an eine Wohnadresse gekoppelt sind, und, wo die vollständige Adresse betroffen ist, dies als Anlass sehen, die physische Sicherheit an diesem Ort zu überprüfen, statt nur Passwörter zu ändern, die nie gefährdet waren. Für jedes Unternehmen, dessen Produkt allein durch den Besitz einen Kunden als vermögend markiert, ob Krypto-Hardware, Schmuck oder hochwertige Elektronik, gilt dieselbe Logik: Die Daten eines Fulfillment-Dienstleisters sind kein reines Datenschutzthema, sie sind eine Zielliste im Wartestand, und sie verdienen eine Prüfung des physischen Risikos zusätzlich zur üblichen Sicherheitsprüfung des Dienstleisters.

Weiterlesen: CEVA-Datenleck trifft Valves Steam-Kunden  |  Der LiteLLM-Hack blieb fünf Monate verborgen