Der Hardware-Wallet-Hersteller Trezor meldet einen Vorfall bei seinem E-Mail-Dienstleister. Über dieses System verschickten Angreifer eine gefälschte Sicherheitswarnung, die einen angeblichen Hardware-Fehler behauptete und Nutzer dazu bringen sollte, ihre Recovery-Phrase preiszugeben. Die Geräte selbst und die dort verwahrten Coins blieben davon unberührt.
Was tatsächlich passiert ist
Nicht Trezor wurde direkt gehackt, sondern der externe Anbieter, über den das Unternehmen E-Mails versendet. Dieser Zugang reichte den Angreifern aus, um Nachrichten mit echter Absenderadresse zu verschicken. Genau das macht diese Art von Angriff gefährlich: Die Mail sieht offiziell aus, kommt scheinbar aus dem richtigen System und trägt keine der üblichen Merkmale einer plumpen Fälschung.
Inhaltlich zielte die Nachricht auf Angst. Sie warnte vor einem angeblichen Fehler in der Hardware, der die Recovery-Phrase offenlegen könnte, und drängte auf schnelles Handeln. Trezor stellte über den eigenen Kanal klar, dass es diesen Fehler nicht gibt und dass das Unternehmen niemals nach der Wiederherstellungsphrase fragt.
Warum die Recovery-Phrase der Angriffspunkt ist
Der Mechanismus dahinter ist einfach. Eine Hardware-Wallet hält den privaten Schlüssel offline, damit kein Schadprogramm auf dem Rechner ihn auslesen kann. Die Recovery-Phrase ist die Sicherungskopie genau dieses Schlüssels, meist zwölf bis vierundzwanzig Wörter. Wer sie kennt, kann die Wallet auf jedem beliebigen Gerät nachbauen und die Coins wegtransferieren.
Damit verlagert sich der Angriff vom Gerät auf den Menschen. Das Gerät zu knacken ist teuer und aufwendig, den Besitzer zur freiwilligen Eingabe der Wörter zu bewegen dagegen billig. Deshalb setzen solche Kampagnen auf gefälschte Warnungen, Zeitdruck und die Autorität einer echt wirkenden Absenderadresse. Wird die Phrase einmal eingegeben, ist der Diebstahl irreversibel, denn eine Transaktion im Netzwerk lässt sich nicht rückgängig machen.
Ein wiederkehrendes Muster
Der Fall reiht sich in eine Serie ein. Anbieter von Wallets und Börsen sind wiederholt über Dritte angegriffen worden, über Newsletter-Dienstleister, Support-Plattformen oder Versandpartner. Der gemeinsame Nenner: Nicht die Kernsysteme fallen, sondern ein Zulieferer mit Zugriff auf Kundendaten oder Kommunikationswege. Für die Angreifer ist das der leichtere Weg, weil sie so an echte Kontaktdaten und einen glaubwürdigen Kanal kommen.
Für die Nutzer bleibt die Verteidigung dieselbe, unabhängig davon, welcher Dienstleister betroffen war. Die Recovery-Phrase wird niemals digital eingegeben, nicht abfotografiert und nicht auf einer Webseite eingetippt, egal wie dringend eine Mail klingt. Eine seriöse Sicherheitswarnung führt nie zu einem Formular, das nach diesen Wörtern fragt.
Ob aus dem Vorfall tatsächlich Schäden entstehen, hängt allein daran, wie viele Empfänger auf die Mail hereinfallen. Der technische Kern der Wallets ist nicht kompromittiert. Das Risiko sitzt in der Kette zwischen einer echt aussehenden Nachricht und einem verunsicherten Empfänger, der schnell reagieren will.
