Der Sektor für Hardware-Sicherheit im Kryptowährungsbereich durchlebt turbulente Zeiten, nachdem eine erhebliche Ausweitung eines Datenlecks beim Logistikdienstleister ShipMonk, einem Partner des Unternehmens Trezor, bekannt wurde. Während eine erste Bilanz im vergangenen August von etwa 14.000 Betroffenen ausging, sind es nun weitere 67.000 US-Kunden, deren persönliche Informationen kompromittiert wurden. Diese Datensätze, die Transaktionen aus dem Zeitraum zwischen November 2019 und August 2021 betreffen, enthalten Namen, Postanschriften, Telefonnummern sowie E-Mail-Adressen. Das Unternehmen bemühte sich um die Beruhigung seiner Nutzer und bestätigte, dass die eigenen internen Infrastrukturen unangetastet geblieben sind und die Sicherheit der Hardware-Wallets weiterhin gewährleistet ist.
Die besorgniserregende Dimension dieses Vorfalls liegt in der Vertragsverletzung des Dienstleisters begründet. Trezor gibt an, schriftliche Garantien erhalten zu haben, wonach diese Daten gemäß den internen Richtlinien – die eine automatische Löschung oder Anonymisierung 90 Tage nach der Lieferung vorsehen – gelöscht worden seien. Dass diese Dateien nach mehreren Jahren immer noch existieren, wirft gravierende Fragen zu den Datenspeicherungspraktiken von Drittanbietern auf. Dieser Mangel an Compliance erhöht das Haftungsrisiko für das Unternehmen, während das bereits nach oben korrigierte Ausmaß des Lecks Zweifel daran lässt, ob der volle Umfang der potenziell gefährdeten Informationen bereits bekannt ist.
Jenseits des klassischen Phishing-Risikos weist dieses Leck eine kritische Dimension in Bezug auf die physische Sicherheit der Inhaber digitaler Vermögenswerte auf. Eine Datenbank, die Identitäten, Wohnorte und den Besitz von Krypto-Hardware verknüpft, stellt ein ideales Ziel für böswillige Akteure dar, die auf Erpressung oder Überfälle spezialisiert sind. In einer Zeit, in der Behörden eine Zunahme krimineller Vorfälle im Krypto-Bereich registrieren, ist das Durchsickern geografischer Standortdaten nicht mehr nur ein Thema der Cybersicherheit, sondern eine Frage der unmittelbaren persönlichen Sicherheit.
Diese Episode erinnert an den gravierenden Vorfall bei Ledger im Jahr 2020 und verdeutlicht eine strukturelle Schwachstelle der Branche: die Abhängigkeit von externen Logistikpartnern. Im Gegensatz zu flüchtigen digitalen Daten behalten physische Adressen auf dem Schwarzmarkt über Jahre hinweg ihren Wert. Für die Nutzer ist Vorsicht geboten: Keine Behörde und kein technischer Support wird jemals per Post oder Telefon nach der 24-Wörter-Wiederherstellungsphrase fragen. Angesichts immer raffinierterer Betrugskampagnen muss die Wachsamkeit nun auf alle Kommunikationskanäle ausgeweitet werden, einschließlich der herkömmlichen Post.