Der Hersteller von Hardware-Krypto-Wallets Trezor warnt seine Kunden zum zweiten Mal binnen zwei Monaten, dass ein Unternehmen gehackt wurde, von dem er abhängt. Nicht die Wallet selbst - die ist unangetastet. Sondern die Firmen darum herum.

Diesmal war das Ziel Brevo, die Marketingplattform, über die Trezor Newsletter verschickt. Den Angreifern gelang es, rund 347.000 Phishing-Nachrichten an Trezor-Kunden zu senden, mit einem schädlichen Link, der aussah, als käme er vom Unternehmen selbst. Der Link lädt eine Anwendung herunter, die vom Opfer das Passwort für die Wallet-Sicherung verlangt. Eine der Betreffzeilen lautete: „Kritische Sicherheitswarnung: STM32-Entropie-Schwachstelle“ - eine Formulierung, technisch genug, um echt zu klingen, und genau das ist der Punkt.

Mit einem gestohlenen Wallet-Passwort holt sich der Angreifer die Mittel auf der öffentlichen Blockchain. Unwiderruflich. Da gibt es keine Bank, die die Transaktion storniert, keine Beschwerdenummer, kein Warten auf eine Lösung. Das ist der Teil, den die Kryptobranche als Vorteil verkaufte, solange die Kurse stiegen - jetzt ist genau diese Eigenschaft das, was den Betrug lohnend macht.

Brevo erklärte in einer Mitteilung zum Vorfall, die Hacker hätten auf 138 Konten zugegriffen und von dort das gesamte Nachrichtenvolumen verschickt. Der Grund: ein Fehler, durch den der Zugriff nicht „ordnungsgemäß begrenzt“ war - die Hacker erhielten Reichweite zu allen Organisationen, die ihre Konten erreichen konnten. Mit anderen Worten: Ein Loch in einem Marketingwerkzeug öffnete die Tür zu Hunderttausenden Kryptobesitzern.

Es ist der zweite Einbruch bei Trezor in kurzer Zeit. Im August informierte das Unternehmen seine Kunden, dass sein Versanddienstleister ShipMonk gehackt worden sei, wobei Namen, Telefonnummern, E-Mail- und Postadressen von mindestens 81.000 Menschen offengelegt wurden, die seine Hardware gekauft hatten. Und das ist der gefährlichere der beiden Fälle. Eine Liste mit Namen, Adresse und der Bestätigung, dass jemand eine Krypto-Wallet besitzt, ist genau das, was jene brauchen, die kein Phishing betreiben, sondern an der Tür stehen. In den Wochen nach diesem Einbruch erhielten manche Menschen Briefe per Post, angeblich von Trezor, mit einem QR-Code, der zu einer gefälschten Passwortseite führte.

Trezor sagt, man überprüfe die Beziehungen zu den Zulieferern, und warnte die Kunden, dass ihre Adressen erneut genutzt werden könnten. Das ist ehrlich, aber auch ein Eingeständnis: Die Sicherheit eines Geräts ist nur so stark wie das schwächste Glied der Kette darum herum. Man kauft Hardware genau deshalb, um niemandem vertrauen zu müssen - und dann laufen die eigenen Daten durch eine Newsletter-Firma und eine Versandfirma und werden dort verscherbelt.