Ein unbefugter Dritter hat beim Fulfillment-Partner von Trezor auf Kundendaten zugegriffen. Das Datenleck betrifft 13'689 Trezor-Kunden in sieben Ländern, davon 11'742 mit vollständigem Namen, Lieferadresse, Telefonnummer und E-Mail-Adresse.
Trezor ist eine Hardware-Wallet-Marke der tschechischen SatoshiLabs. Die Geräte speichern private Schlüssel offline, getrennt vom Internet. Sie gelten deshalb als eine der sichersten Formen der Selbstverwahrung. Genau dieser Sicherheitsfokus macht die Kundenliste wertvoll, denn wer darauf steht, hält mit hoher Wahrscheinlichkeit Kryptowährungen. Der Vorfall erfasst Bestellungen aus dem Zeitraum vom 10. Mai bis 8. August 2026. Die Lieferungen gingen in die USA, nach Grossbritannien, Schweden, Kolumbien, Brasilien, Italien und Portugal. Beim betroffenen Dienstleister handelt es sich um ShipMonk. Geräte, private Schlüssel und Wallet-Backups blieben nach Angaben des Unternehmens jedoch unberührt. Als Reaktion kündigte der Hersteller zudem eine anonyme Versandoption an.
Abonnieren Sie unseren Newsletter
Die besten Artikel der Woche direkt in ihre Mailbox geliefert.
Was das Trezor-Datenleck bei ShipMonk offenlegte
ShipMonk informierte Trezor am 11. August 2026 über den unbefugten Zugriff auf Systeme mit Kundendaten. Trezor verkauft seine Geräte online und lässt sie extern ausliefern. Fulfillment-Dienstleister übernehmen dabei Lagerung, Kommissionierung und Versand. Sie benötigen dafür vollständige Lieferadressen und Kontaktdaten der Endkunden. Ohne diese Angaben lässt sich kein Paket zustellen. Genau dieser Datenbestand lag offen. Zwei Tage später ging das Unternehmen damit an die Öffentlichkeit.
Die Betroffenen zerfallen in zwei Gruppen. Bei 11'742 Kunden liegt eine vollständige Exposition vor, mit Name, Lieferadresse, Telefonnummer und E-Mail-Adresse. Für 1'947 weitere beschränkt sie sich hingegen auf Name, Stadt und E-Mail-Adresse. Zusammen ergeben beide Gruppen die gemeldeten 13'689 Fälle. Namen und Telefonnummern ermöglichen gezielte Phishing-Anrufe, während die Lieferadresse den Halter physisch auffindbar macht. Nach Darstellung des Unternehmens erfasste der Zugriff jedoch weder Geräte noch private Schlüssel oder Wallet-Backups. Ebenso blieben die eigenen Systeme von Trezor ausserhalb der Reichweite des Angreifers. Insgesamt trifft der Vorfall damit die Logistikschicht rund um das Produkt.
Den begrenzten Umfang führt der Hersteller auf eine strikte 90-Tage-Datenspeicherpolitik zurück. Sie gilt vertraglich ebenfalls für Fulfillment-Partner. Ältere Bestelldaten liegen dort gar nicht mehr vor. Frühere Lieferungen fallen folglich nicht in den betroffenen Zeitraum. Alle betroffenen Kunden hat Trezor ferner separat per E-Mail benachrichtigt. Das Unternehmen entschuldigte sich zudem öffentlich für den Vorfall. Die Untersuchung läuft weiterhin, Aktualisierungen sollen im firmeneigenen Blog erscheinen.
Warum eine Adressliste Krypto-Halter besonders gefährdet
Eine Käuferliste für Hardware-Wallets ist kein gewöhnlicher Kundenstamm. Wer eine Wohnadresse mit einem Trezor-Kauf verknüpft, kennt daher mit hoher Wahrscheinlichkeit einen Halter grösserer Krypto-Bestände. Der Präzedenzfall dafür stammt aus dem Jahr 2020. Beim Konkurrenten Ledger entwendeten Angreifer damals über eine Drittanbieter-Schnittstelle rund 1.1 Mio. E-Mail-Adressen. Hinzu kamen rund 272'000 detaillierte Datensätze mit vollständigem Namen, Telefonnummer und Postadresse. Im Dezember 2020 landeten diese Daten letztlich öffentlich im Netz. Später folgten breit angelegte Phishing- und Erpressungskampagnen gegen Ledger-Kunden, teilweise mit Drohungen gegen deren physische Sicherheit. In einer öffentlichen Stellungnahme arbeitete Ledger den Vorfall schliesslich auf.
Die Bedrohungslage hat sich seither verschärft. Chainalysis zählte im ersten Halbjahr 2026 weltweit 46 gewaltsame krypto-bezogene Vorfälle, gegenüber 40 im Vorjahreszeitraum. Zu diesen sogenannten Wrench Attacks gehören Entführungen, Hausüberfälle und Geiselnahmen. Rund 30 Mio. USD erbeuteten die Täter allein in der ersten Jahreshälfte. Insgesamt versuchten sie, 107 Mio. USD zu erlangen. Damit liegt 2026 laut Chainalysis auf Kurs, den Rekord von 58 Mio. USD aus dem Gesamtjahr 2025 zu übertreffen. Die Erfolgsquote der Angreifer sank allerdings von 49% im Jahr 2025 auf 26%. Gleichzeitig steigt die Zahl der Versuche, während weniger davon aufgehen.
Regional sticht Frankreich hervor. Chainalysis zählt dort 30 öffentlich bekannte Vorfälle, während die Behörden über 70 erfasst haben. Als Teilursache identifiziert das Analyseunternehmen ein Datenleck in der Steuerverwaltung. Das Leck datiert auf das Jahr 2024 und betraf den Grossraum Paris. Ein Beamter soll Datensätze wohlhabender Krypto-Besitzer gestohlen und verkauft haben, samt Namen, Adressen, Telefonnummern und Beständen. Kriminelle Gruppen nutzten dieses Material anschliessend zur Planung ihrer Angriffe. Ihre Ziele wählten sie anhand der verzeichneten Bestände aus. Der Weg von einer Adressliste bis zur Haustür ist somit belegt.
Anonyme Zustellung als Antwort auf das Adressproblem
Rund eine Stunde nach der ersten Mitteilung kündigte Trezor eine Option namens „Anonymous Delivery" an. Sie zielt genau auf die Datenkategorie, die bei ShipMonk offenlag. Zunächst hinterlegen Kunden beim Bestellvorgang einen Nickname oder eine Label-ID statt ihrer echten Identität. Die Sendung geht anschliessend an eine automatisierte Paketstation, wo die Besteller sie selbst abholen. Klarname und Wohnadresse liegen dem Dienstleister dadurch nicht mehr gemeinsam vor. Ein Zusteller mit Namen und Adresse an der Haustür entfällt somit.
Ausserdem bleibt die Verpackung unmarkiert und trägt einen generischen Absender. Den Abhol-PIN verschickt der Anbieter ausschliesslich per E-Mail oder SMS. Die Abholstation ersetzt daher die Wohnadresse als Zustellpunkt. Der echte Name des Käufers erscheint damit nicht mehr auf der Sendung. Ein kompromittierter Dienstleister gäbe folglich nur noch Pseudonyme und Abholpunkte preis. Trezor bezeichnet das Vorhaben als aktuell höchste Priorität.
Verfügbar sein soll die Option zunächst ab September 2026 in der EU, in den USA gegen Ende 2026. Bis dahin laufen Bestellungen weiterhin über die bestehenden Wege. Der Zeitplan zeigt gleichzeitig die Grenzen der Ankündigung. Für die 13'689 bereits betroffenen Kunden ändert die neue Versandoption hingegen nichts. Letztlich ist die Ankündigung ein Eingeständnis, dass Versanddaten ein eigenes Sicherheitsproblem darstellen.
Meldepflichten und das Muster hinter dem Vorfall
Hinter Trezor steht SatoshiLabs mit Sitz in Tschechien. Für den Vorfall gilt deswegen europäisches Datenschutzrecht. Die Datenschutzgrundverordnung verlangt bei einem Risiko für Betroffene eine Meldung an die Aufsichtsbehörde binnen 72 Stunden. Zuständig wäre in diesem Fall die tschechische Aufsichtsbehörde ÚOOÚ. Die Frist beginnt mit der Kenntnisnahme, im vorliegenden Fall dem 11. August 2026. Ob und wann Trezor eine solche Meldung eingereicht hat, ist öffentlich allerdings nicht dokumentiert.
Auffällig ist die Wiederkehr des Musters. In allen drei Fällen lagen die Daten ausserhalb der Systeme, die die Krypto-Anwender selbst kontrollierten. Zuvor traf es eine Marketing-Schnittstelle und eine Steuerbehörde, nun einen Versanddienstleister. Drittanbieter sind damit ein wiederkehrender Angriffsvektor gegen Krypto-Inhaber. Die Kryptografie der Geräte war dabei nie das Problem. Für Käufer entscheidet sich die Sicherheit der Verwahrung deshalb bereits bei der Bestellung. Angreifbar bleibt die Logistik dahinter.
