Als ich heute die Nachricht über die Datenpanne bei Trezor sah, war meine erste Reaktion nicht „Schon wieder wurde gehackt“, sondern ich habe nachgeschaut, was für Informationen ich hinterlassen hatte, als ich das Hardware-Wallet gekauft habe.
Name, Handynummer, E-Mail-Adresse, Lieferadresse.
Wenn man das zusammensetzt, reicht das schon aus, damit Betrüger eine Geschichte erzählen können, die sehr nach echt klingt.
Laut Trezor, das nach außen bekanntgab, wurde der Logistik-Partner ShipMonk unerlaubt aufgesucht. Der Vorfall betrifft 13.689 Kunden: Bei 11.742 Personen wurden Name, E-Mail, Telefonnummer und Lieferadresse vollständig offengelegt, weitere 1.947 Personen hatten Name, Stadt und E-Mail betroffen.
Trezor betont, dass weder das eigene System noch die eigenen Geräte kompromittiert wurden.
Das ist natürlich ein wichtiger Unterschied, aber für Nutzer verschwindet das Problem dadurch nicht. Angreifer müssen das Hardware-Wallet nicht knacken: Wenn sie nur wissen, dass du eine gekauft hast, wo du wohnst und wie deine Telefonnummer ist, können sie eine gezieltere Phishing-Aktion entwerfen.
„Ihr Gerät ist in Gefahr. Bitte migrieren Sie Ihre Vermögenswerte sofort.“
„Dies ist das offizielle Sicherheitsteam. Bitte prüfen Sie die Bestelldaten.“
„Wir schicken ein Ersatzgerät. Bitte verifizieren Sie zuerst die Seed-Phrase.“
Wenn man solche Formulierungen früher gesehen hat, fanden viele sie viel zu unglaubwürdig. Aber wenn die andere Seite deinen Namen, den Kaufzeitpunkt und die Lieferadresse nennen kann, lässt sich die Wachsamkeit sehr leicht senken.
Noch unangenehmer ist: Das ist kein isolierter Vorfall.
Die jüngste Firmware-Lücke bei Coldcard zeigt: Wenn das Gerät nicht online ist, heißt das nicht, dass der Seed-Generierungsprozess kein Risiko birgt. Die Analyse von TRM Labs vom 5. August besagt, dass eine Konfigurationsfehler in älteren Firmware-Versionen die Zufälligkeit von Seed-Werten bei einem Teil der Wallets deutlich verringert. Ein Firmware-Update kann die nachfolgenden Generierungsabläufe reparieren, aber es kann nicht dafür sorgen, dass bereits generierte alte Seeds wieder sicher werden.
Der eine Vorfall legt Menschen offen, die ein Wallet gekauft haben. Der andere Vorfall beeinflusst den Schlüssel, der bei der Wallet-Erstellung generiert wird.
Wenn man noch weiter schaut, werden auch die „Exit“-Wege für Betrug neu bewertet. Das Büro des Generalstaatsanwalts von Arizona teilte kürzlich mit, dass nach Inkrafttreten der Anti-Betrugs-Gesetze für lokale Krypto-ATMs bereits 35 Opfer eine vollständige Rückerstattung in Höhe von insgesamt 171.332 US-Dollar erhalten haben. Neue Nutzer müssen, um in Frage zu kommen, innerhalb von 30 Tagen nach der Transaktion den Betreiber und die Strafverfolgungsbehörden informieren.
Wenn man diese drei News zusammenbringt, geht mir nicht die Frage durch den Kopf „Welches Wallet ist am sichersten?“, sondern eine andere: Denken wir die Sicherheit von Wallets vielleicht zu eng?
Viele Sicherheitsanleitungen beginnen bei der Seed-Phrase und enden auch damit. In der Realität könnte sich die Angriffskette jedoch schon mit einem einzelnen Online-Kauf-Record starten, über einen Anruf, der deine echte Identität kennt, schließlich bei der Signatur oder Überweisung ankommen.
Ich bin jetzt eher bereit, das Wallet-Risiko in mehrere Ebenen aufzuteilen.
Langfristige Vermögenswerte und alltägliche Interaktionen trennen, damit nicht ein einziges Wallet gleichzeitig für das Speichern, Airdrops, DeFi und Tests mit fremden Smart-Contracts zuständig ist.
Den Download-Zugang muss man selbst prüfen. Wenn jemand dir per SMS, Telefon oder E-Mail „Sicherheitsupdates“ schickt, selbst wenn sie die Bestelldaten korrekt nennen, öffnest du sie nicht direkt.
Hardware-Wallets kann man nicht kaufen und dann vergessen. Firmware-Updates, Sicherheitsankündigungen und die Art, wie Seeds generiert werden, verdienen eine kontinuierliche Aufmerksamkeit.
Mehrketten-Management gehört in die Alltagsschicht der Interaktionen. Die öffentliche App-Store-Seite von CatWallet zeigt, dass es Ethereum, BNB Smart Chain, Polygon und Arbitrum unterstützt und auch kompatible Wallets erstellen oder importieren kann. Für Menschen, die häufig über Ketten hinweg arbeiten, können solche Tools das Umschalten von Apps reduzieren – aber ich würde dadurch meine langfristigen Vermögenswerte und Testgelder nicht in denselben Einstiegskanal legen.
Tools lösen das Anwendungsproblem, Schichtung löst den Umfang des Schadens.
Da ist noch etwas, an das ich früher kaum gedacht habe: Beim Kauf eines Hardware-Wallets – sollte man extra zahlen für anonyme Lieferung, Abholung im Laden oder neutrale Verpackung?
Früher hätte ich vielleicht gedacht, dass das nicht nötig ist. Aber nach dieser Leckage bin ich mir nicht mehr so sicher.
Denn wenn die E-Mail-Adresse geleakt wird, gibt es vor allem Spam. Wenn jedoch die Kaufhistorie des Wallets offengelegt wird, weiß der andere eventuell „dass unter dieser Adresse ein Wallet-Inhaber mit Coins wohnt“. Das ist nicht mehr nur ein Problem der Privatsphäre im Netz, sondern kann sich auch zu realem Ärger, Betrug und sogar zu persönlichen Risiken entwickeln.
Ich will hören, was alle wirklich wählen: Wenn anonyme Lieferung zusätzlich kostet, würdest du dann dafür zahlen?
Oder glaubst du, solange das Wallet selbst nicht kompromittiert wurde, ist die Offenlegung von Versand-/Logistikdaten nicht so schlimm?
Ich neige im Moment dazu, lieber etwas mehr zu zahlen, aber ich möchte auch prüfen, ob ich durch die neuesten Sicherheitsnews vielleicht zu übervorsichtig geworden bin.