Trezor warnt vor einer besonders gefährlichen Phishing-Kampagne, die über die legitime E-Mail-Infrastruktur des Hardware-Wallet-Herstellers verschickt wurde. Nach Angaben des Unternehmens waren rund 347.000 Newsletter-Abonnenten betroffen. Etwa 2.500 Empfänger hatten den schädlichen Link bereits angeklickt, bevor Trezor die zugehörige Domain abschalten konnte.
Auslöser war ein Sicherheitsvorfall beim externen E-Mail-Dienstleister Brevo. Der Angriff betraf laut Trezor insgesamt 120 Brevo-Kundenkonten. Ein Angreifer hatte sich Zugang zum System verschafft und konnte anschließend Nachrichten aus verschiedenen Kundenkonten versenden, darunter auch aus dem von Trezor.
Besonders gefährlich: Für Empfänger konnte die Nachricht dadurch deutlich glaubwürdiger wirken als gewöhnliche Phishing-Mails.
347.000 Adressen betroffen: Diese E-Mail ist gefährlich
Die betrügerische Nachricht trug den Betreff „Critical Security Alert: STM32 Entropy Vulnerability“ und täuschte eine schwerwiegende Sicherheitslücke bei Trezor-Geräten vor.
Über einen Link sollten Nutzer eine Anwendung herunterladen. Diese forderte anschließend dazu auf, das Wallet-Backup beziehungsweise die Recovery Seed einzugeben. Genau an diesem Punkt droht der vollständige Verlust der Kryptowährungen: Wer seine Seed Phrase an einen Angreifer übermittelt, gibt ihm grundsätzlich die Möglichkeit, die Wallet auf einem anderen Gerät wiederherzustellen und die enthaltenen Coins zu transferieren.
Trezor betont deshalb, dass das Unternehmen Nutzer niemals per E-Mail zur Eingabe ihres Wallet-Backups auffordert.
Nach Angaben des Unternehmens wurde die Phishing-Mail an ungefähr 347.000 Adressen aus der Opt-in-Newsletter-Datenbank verschickt. Alle betroffenen Empfänger seien inzwischen über das Risiko informiert worden.
Noch offen ist allerdings, ob der Angreifer die komplette Liste der E-Mail-Adressen tatsächlich exportieren konnte. Bis Brevo weitere Erkenntnisse liefert, behandelt Trezor sämtliche rund 347.000 Adressen vorsorglich so, als könnten sie dem Angreifer bekannt sein.
Damit endet die Gefahr nicht zwangsläufig mit der abgeschalteten Phishing-Seite. Die Adressen könnten künftig für weitere gezielte Betrugsversuche verwendet werden.
Nur 20 Minuten bis zur Abschaltung – trotzdem klickten 2.500 Nutzer
Trezor reagierte nach eigenen Angaben schnell. Innerhalb von rund 20 Minuten wurde die betroffene Domain auf DNS-Ebene deaktiviert. Gleichzeitig stoppte das Unternehmen die E-Mail-Versandfunktion über Brevo.
Bis zu diesem Zeitpunkt hatten allerdings bereits rund 2.500 Personen auf den Link geklickt.
Für diese Nutzer gibt es eine entscheidende Unterscheidung: Wer lediglich den Link geöffnet, aber weder seine Recovery Seed noch sein Wallet-Backup eingegeben hat, dessen Kryptowährungen sind laut Trezor dadurch nicht unmittelbar gefährdet.
Anders sieht es aus, wenn die Seed Phrase eingegeben wurde. In diesem Fall sollte das Wallet als kompromittiert betrachtet werden. Trezor empfiehlt Betroffenen, ihre Kryptowährungen unverzüglich auf eine neue Wallet mit einem vollständig neuen Wallet-Backup zu übertragen.
Das Unternehmen hat Warnhinweise unter anderem auf Trezor.io, in der Trezor Suite sowie über Support-, Community- und direkte Kommunikationskanäle veröffentlicht.
Trezor selbst nicht gehackt – das Phishing-Risiko bleibt trotzdem hoch
Nach aktuellem Stand wurde nicht die Wallet-Infrastruktur von Trezor kompromittiert. Trezor erklärt ausdrücklich, dass weder Produkte noch Wallet-Systeme oder andere interne Account-Systeme von dem Brevo-Vorfall betroffen gewesen seien.
Auch Passwörter oder Wallet-Daten sollen bei Brevo nicht gespeichert gewesen sein. Der Vorfall zeigt jedoch ein anderes Risiko: Angreifer müssen nicht zwingend eine Hardware-Wallet knacken, wenn sie Nutzer dazu bringen können, ihre Seed Phrase freiwillig preiszugeben. Besonders effektiv wird ein solcher Angriff, wenn dafür Infrastruktur eines legitimen Dienstleisters missbraucht werden kann und die Nachricht dadurch authentisch erscheint.
Für Trezor-Kunden ist deshalb jetzt vor allem eine Regel entscheidend: Die Recovery Seed gehört ausschließlich auf das Trezor-Gerät und niemals in eine Webseite, App oder ein Formular, das über eine E-Mail geöffnet wurde.
Wer die Phishing-Mail nur erhalten oder den Link geöffnet hat, ohne sein Wallet-Backup einzugeben, muss seine Coins laut Trezor nicht verschieben. Wer die Seed Phrase jedoch eingegeben hat, sollte keine weitere Nachricht oder Untersuchung abwarten, sondern die Vermögenswerte sofort auf eine Wallet mit neuer Seed übertragen.
