Trezor teilte am 9. September 2026 mit, dass Angreifer einen kompromittierten Drittanbieter für E-Mail-Dienste genutzt hätten, um Phishing-Nachrichten im Namen des Hardware-Wallet-Herstellers zu verbreiten. Der Vorfall war bedeutsam, weil die E-Mails von einer Trezor-Adresse stammten, auf dessen Mailing-Domain verwiesen und die üblichen E-Mail-Authentifizierungsprüfungen bestanden.
BitBox und CoinTracking berichteten über ähnliche Phishing-Kampagnen, bei denen Nachrichten über offenbar legitime E-Mail-Infrastruktur versandt wurden. Forscher identifizierten mögliche Verbindungen zu Brevo, doch der Anbieter hatte zum Zeitpunkt der Veröffentlichung keinen Sicherheitsvorfall öffentlich bestätigt.
Die Nachrichten trugen die Betreffzeile „Critical Security Alert: STM32 Entropy Vulnerability“ und behaupteten, eine kritische Schwachstelle betreffe Trezor-Hardware-Wallets. Trezor erklärte, die E-Mails stammten nicht von dem Unternehmen, warnte Empfänger davor, auf Links zu klicken, und teilte mit, die bei dem Angriff verwendete Domain abgeschaltet und eine Untersuchung eingeleitet zu haben.
Trezor nannte den Drittanbieter nicht und erläuterte nicht, wie die Angreifer Zugang zur Mailing-Infrastruktur erhielten. Empfänger erklärten, die E-Mails seien von [email protected] gekommen und die Header hätten auf mailing.trezor.io verwiesen. Die Nachrichten bestanden zudem SPF-, DKIM- und DMARC-Prüfungen, wodurch sie trotz ihres betrügerischen Inhalts gegenüber E-Mail-Diensten authentisch erscheinen konnten.
Die E-Mails behaupteten, ein Fehler in STM32-Mikrocontrollern könne die Zuverlässigkeit generierter Seed-Phrasen verringern, und leiteten Empfänger auf eine Website weiter, auf der sie ihre Geräte überprüfen sollten. Die Phishing-Seiten konnten nach einem xPub oder einer Wallet-Wiederherstellungsphrase fragen.
BitBox und CoinTracking im Visier
Der Hardware-Wallet-Hersteller BitBox bestätigte ebenfalls, dass Phishing-E-Mails verbreitet worden waren, und veröffentlichte später vorläufige Erkenntnisse. Das Unternehmen erklärte, sein Anbieter für den E-Mail-Versand sei mit hoher Wahrscheinlichkeit kompromittiert worden, und mehrere weitere Kryptounternehmen, die denselben Anbieter nutzten, seien vermutlich ebenfalls ins Visier genommen worden.
Die BitBox-E-Mails trugen die Betreffzeile „Critical Security Alert: Microcontroller Entropy Bug Identified“. BitBox warnte Abonnenten, kontaktierte seinen Dienstleister und meldete die Phishing-Domains. Die meisten schädlichen Links waren bereits entfernt worden, als das Unternehmen seine Stellungnahme veröffentlichte.
Die Krypto-Portfolio-Tracking-Plattform CoinTracking war ein weiteres öffentlich identifiziertes Ziel. Nutzer erhielten Nachrichten von [email protected] mit der Betreffzeile „Data Breach Notice: Please refresh API Keys as soon as possible“. Die E-Mails leiteten Empfänger auf eine Drittanbieter-Ressource weiter, um ihre API-Schlüssel zu aktualisieren.
CoinTracking veröffentlichte eine Warnung, wonach die betrügerischen Nachrichten auf Websites verlinkten, die Zugangsdaten für Kryptobörsen abfragten. Das Unternehmen erklärte, seine Mitarbeiter forderten Nutzer niemals zur Angabe von Login-Daten oder von API-Schlüsseln mit Handels- und Auszahlungsberechtigungen auf.
Zum Zeitpunkt der Veröffentlichung war öffentlich bekannt, dass mindestens drei Marken — Trezor, BitBox und CoinTracking — in ähnlichen Kampagnen imitiert worden waren.
Forscher untersuchen mögliche Brevo-Verbindung
Forscher identifizierten die E-Mail-Marketingplattform Brevo, früher Sendinblue, als mögliche gemeinsame Verbindung. Sie fanden eine gemeinsame DKIM-Konfiguration bei den Domains von Trezor und BitBox, während Branchenquellen berichteten, dass in betroffenen Brevo-Konten nicht autorisierte API-Schlüssel erstellt worden seien.
Weder Trezor noch BitBox nannte den Anbieter in seiner ersten Stellungnahme, und es gab keine Bestätigung, dass die Kerninfrastruktur von Brevo kompromittiert worden war. Auch der ursprüngliche Angriffsvektor blieb unklar: Der Vorfall könnte auf der Seite des Anbieters entstanden sein, oder Angreifer könnten auf einzelne Kundenkonten zugegriffen und API-Schlüssel erstellt haben. Zum Zeitpunkt der Veröffentlichung war keine öffentliche Stellungnahme von Brevo identifiziert worden, die den Vorfall abschließend behandelte.
Eine ähnliche Phishing-Kampagne hatte im August 2026 Trezor-Kunden ins Visier genommen und Warnungen vor einer angeblich kritischen Schwachstelle im Zusammenhang mit Entropie und der Generierung von Seed-Phrasen verwendet. Trezor erklärte damals, Angreifer könnten Informationen aus Datenlecks bei verschiedenen Kryptodiensten kombiniert haben. Der jüngste Vorfall unterschied sich, weil die verfügbaren Informationen darauf hindeuteten, dass die Phishing-Nachrichten über legitime E-Mail-Marketinginfrastruktur verbreitet worden waren.
Es gab keine Bestätigung, dass die in den E-Mails beschriebenen Schwachstellen in Geräten von Trezor oder BitBox existierten. Beide Unternehmen rieten Nutzern, nicht auf Links in verdächtigen E-Mails zu klicken und niemals eine Wiederherstellungsphrase auf einer Website einzugeben.
Quelle: HODL Press
