Der Hardware-Wallet-Hersteller Trezor warnt vor einer täuschend echten Phishing-Mail, die über einen kompromittierten externen E-Mail-Dienstleister verschickt wurde. Weil die Nachricht von einer legitimen Trezor-Adresse kam, war der Betrugsversuch besonders schwer zu erkennen.
Nach Angaben von Trezor verschafften sich Angreifer Zugang zu einem Drittanbieter, den das Unternehmen für den E-Mail-Versand nutzt. Anschließend versendeten sie eine gefälschte Sicherheitswarnung mit dem Betreff „Critical Security Alert: STM32 Entropy Vulnerability“.
Die Nachricht behauptete, in bestimmten Mikrocontrollern von Trezor-Geräten sei eine kritische Schwachstelle entdeckt worden. Dadurch könnten Angreifer angeblich das Wallet-Backup durch automatisiertes Ausprobieren knacken. Diese Warnung stammt laut Trezor nicht vom Unternehmen.
Warum war die Phishing-Mail besonders überzeugend?
Normalerweise lässt sich eine verdächtige Nachricht häufig schon an einer fremden oder falsch geschriebenen Absenderadresse erkennen. In diesem Fall wurde die Mail jedoch über die echte Trezor-Domain versendet. Deshalb ließ sich die Fälschung nicht allein anhand der Absenderadresse erkennen.
Trezor erklärte, eine mit der Angriffskampagne verbundene Domain abgeschaltet zu haben. Zugleich untersucht das Unternehmen, wie die Angreifer den legitimen E-Mail-Versandweg missbrauchen konnten. Nutzer sollen die betreffende Nachricht löschen und keinesfalls auf enthaltene Links klicken.
Sind Trezor-Geräte und Kryptowährungen betroffen?
Nach bisherigem Stand wurde nicht die Technik der Hardware Wallets selbst kompromittiert. Es gibt auch keinen Hinweis darauf, dass Private Keys oder Wallet-Backups durch den Angriff direkt offengelegt wurden.
Die unmittelbare Gefahr entsteht erst, wenn ein Empfänger dem Link in der Phishing-Mail folgt und dort vertrauliche Wiederherstellungsdaten eingibt. Mit einem vollständigen Wallet-Backup könnten Kriminelle die Wallet auf einem anderen Gerät wiederherstellen und über die Kryptowerte verfügen.
Was sollten Empfänger jetzt tun?
- Die Mail mit dem Betreff „Critical Security Alert: STM32 Entropy Vulnerability“ nicht öffnen beziehungsweise löschen.
- Keine Links oder Schaltflächen aus der Nachricht anklicken.
- Das Wallet-Backup niemals auf einer Internetseite, in einer App oder in einem Formular eingeben.
- Software und Hinweise ausschließlich über die offiziell aufgerufene Trezor-Website oder die originale Trezor Suite prüfen.
- Wer sein Wallet-Backup bereits auf der verlinkten Seite eingegeben hat, sollte seine Kryptowerte unverzüglich auf eine neu und sicher eingerichtete Wallet mit neuem Backup übertragen.
Dritter Dienstleister-Vorfall innerhalb von vier Wochen
Nach aktuellen Medienberichten handelt es sich bereits um den dritten Sicherheitsvorfall im Zusammenhang mit einem externen Dienstleister innerhalb von vier Wochen. Zu den vorangegangenen Fällen gehörte das bekannt gewordene Datenleck beim Trezor-Versandpartner ShipMonk. Dabei wurden persönliche Bestell- und Kontaktdaten von insgesamt rund 81.000 Kunden offengelegt. Der aktuelle E-Mail-Angriff betrifft jedoch einen anderen externen Dienstleister.
Ob und in welchem Umfang Kundendaten des E-Mail-Anbieters eingesehen wurden, war zum Zeitpunkt der Veröffentlichung noch nicht abschließend bekannt. Bestätigt ist, dass der kompromittierte Versandweg für die gefälschte Sicherheitsmail missbraucht wurde.
Einordnung von KryptoImpuls
Der Vorfall zeigt, dass selbst eine echte Absenderdomain keine Garantie für eine vertrauenswürdige Nachricht ist. Entscheidend bleibt eine Grundregel der Selbstverwahrung: Das Wallet-Backup und der Private Key dürfen niemals weitergegeben oder auf einer Website eingegeben werden.
Die Sicherheit einer Hardware Wallet kann den Nutzer nur schützen, solange geheime Wiederherstellungsdaten geheim bleiben. Weitere verständliche Erklärungen zu Wallets, Private Keys und Sicherheit findest Du im Bereich Krypto-Wissen.
Quellen
- Trezor: Warnung vor der gefälschten Sicherheitsmail
- BleepingComputer: Trezor warnt nach Angriff auf E-Mail-Dienstleister
- Trezor: Hinweise zu Betrugsversuchen und Phishing