Trezor-Phishing-Kampagne missbrauchte nach Brevo-Datenpanne vertrauenswürdige E-Mail-Infrastruktur

Überzeugende Sicherheitswarnung erreichte rund 347.000 Adressen

Eine am 10. September 2026 gemeldete Phishing-Kampagne richtete sich über die von Brevo, einem externen E-Mail-Anbieter, betriebene Newsletter-Infrastruktur gegen Trezor-Kunden. Die betrügerischen Nachrichten schienen von [email protected] zu stammen, sodass den Empfängern nur wenige der üblichen Gründe blieben, dem Absender zu misstrauen.

Die E-Mail trug den Betreff Critical Security Alert: STM32 Entropy Vulnerability. Darin wurde behauptet, eine Schwachstelle in den von Trezor-Hardware-Wallets verwendeten STM32-Mikrocontrollern könne Wallet-Seeds für Brute-Force-Angriffe anfällig machen.

Diese Warnung war frei erfunden. Trezor erklärte, die Nachrichten seien nicht autorisiert und stammten nicht aus einer echten Schwachstellenmeldung des Unternehmens. Es gibt keine Hinweise darauf, dass die Angreifer Trezor-Geräte, deren kryptografische Schutzmechanismen oder die STM32-Hardware selbst kompromittiert haben.

Laut SecurityWeeks Bericht zu dem Vorfall waren etwa 347.000 im Brevo-Konto gespeicherte Trezor-E-Mail-Adressen Ziel des Angriffs. Rund 2.500 Empfänger klickten auf den eingebetteten Link, bevor die Phishing-Website etwa 20 Minuten nach ihrer Entdeckung abgeschaltet wurde.

Wie viele Opfer sensible Informationen übermittelt haben, ist weiterhin unbekannt. Trezor hat weder bestätigte Kryptowährungsverluste offengelegt noch mitgeteilt, wie viele Personen Wiederherstellungsdaten auf der Phishing-Seite eingegeben haben.

Die Kombination aus einer vertrauenswürdigen Absenderdomain, einer dringlichen Behauptung zur Hardware-Sicherheit und einer Website, die einem legitimen Kryptowährungsdienst nachempfunden war, machte die Kampagne ungewöhnlich überzeugend. Es handelte sich nicht lediglich um Massen-Spam mit gefälschtem Anzeigenamen. Die Angreifer missbrauchten den Zugang zu einem etablierten Kommunikationskanal.

Die gefälschte STM32-Schwachstelle sollte Wallet-Backups stehlen

Die Phishing-Nachricht versuchte, Angst vor der Entropieerzeugung zu schüren – einem technischen Konzept, das sich unmittelbar auf die Sicherheit kryptografischer Schlüssel auswirkt. Mit der Behauptung, STM32-Komponenten erzeugten verwundbare Wallet-Seeds, gaben die Angreifer den Empfängern einen plausiblen Grund, sofort zu handeln.

Die schädliche Website forderte anschließend Wallet-Backup-Daten an. Technische Details zu ihrer Implementierung, der Hosting-Infrastruktur, dem Code zur Datenverarbeitung und den genauen Eingabefeldern wurden nicht veröffentlicht.

Das beabsichtigte Ergebnis ist dennoch eindeutig: Mit einer Recovery-Seed kann ein Angreifer die Wallet des Opfers rekonstruieren und deren Guthaben übertragen. Solche Transaktionen können unumkehrbar sein, selbst wenn das Opfer den Betrug schnell erkennt.

Ein seriöser Wallet-Anbieter sollte niemals verlangen, dass ein Nutzer eine Recovery-Phrase, einen privaten Schlüssel, eine PIN oder einen Authentifizierungscode auf einer Website eingibt, die über eine unerwartete E-Mail aufgerufen wurde. Die Sicherheit einer Hardware-Wallet kann das Guthaben nicht mehr schützen, sobald das Wiederherstellungsgeheimnis freiwillig an einen Angreifer übermittelt wurde.

Trezor warnte die Empfänger davor, dem Link zu folgen, und nahm die schädliche Domain vom Netz. Das Unternehmen leitete außerdem Untersuchungen sowohl zur Kompromittierung des Anbieters als auch zu dem Mechanismus ein, der den Angreifern das Versenden von Nachrichten über die legitim wirkende E-Mail-Identität ermöglicht hatte.

Für die Brevo-Schwachstelle wurde keine CVE-Kennung vergeben oder veröffentlicht. Auch die betroffenen Brevo-Softwareversionen sind nicht bekannt, sofern eine Versionierung bei dem gehosteten Dienst überhaupt zutrifft.

Fehler bei der SAML-Autorisierung ermöglichte organisationsübergreifenden Zugriff

Brevo führte die zugrunde liegende Kompromittierung auf einen Implementierungsfehler in seinem Security Assertion Markup Language Single-Sign-On-System zurück. SAML SSO ermöglicht es einem Dienst, zur Authentifizierung von Nutzern auf einen externen Identitätsanbieter zu vertrauen. Gleichzeitig muss der Dienst jedoch den Zugriff jeder authentifizierten Identität beschränken.

Der Angreifer erstellte zunächst ein Brevo-Konto und aktivierte dafür SSO. Anschließend wurden legitime Brevo-Nutzer in die vom Angreifer kontrollierte SSO-Konfiguration eingeladen.

Über seinen eigenen Identitätsanbieter authentifizierte sich der Angreifer als diese eingeladenen Nutzer. Der entscheidende Fehler trat nach der Authentifizierung auf: Brevo beschränkte den Zugriff nicht korrekt auf die Organisation, für die diese SSO-Konfiguration aktiviert worden war.

Stattdessen konnte der Angreifer jede Brevo-Organisation erreichen, die den imitierten Nutzern zur Verfügung stand. Eine für einen Mandanten eingerichtete Vertrauensbeziehung wurde damit faktisch zu einem Zugang in die Umgebungen anderer Kunden.

Diese Unterscheidung ist entscheidend. Durch die Authentifizierung wurde festgestellt, für wen die Plattform den Nutzer hielt, während die fehlerhafte Autorisierung bestimmte, welche Organisationen diese Identität betreten durfte. Die letztgenannte Kontrolle versagte beim Schutz der Mandantengrenzen.

Brevo erklärte, dass letztlich 138 Kundenkonten von dem unbefugten Zugriff betroffen waren. Sechs davon wurden zum Versand von Phishing-Nachrichten verwendet, während aus 43 Konten Kontaktinformationen exportiert wurden. In einer früheren Mitteilung war von 120 betroffenen Kundenkonten die Rede gewesen; der spätere technische Untersuchungsbericht korrigierte diese Zahl auf 138.

Brevo teilte mit, den Angreifer entfernt, den unbefugten Zugriffsweg geschlossen und eine dauerhafte Korrektur für das Problem bei der SAML-Autorisierungsabgrenzung umgesetzt zu haben. Das Unternehmen erklärte außerdem, mit den Strafverfolgungsbehörden zusammenarbeiten zu wollen.

CoinTracking und BitBox waren ebenfalls von dem Vorfall beim Anbieter betroffen

Trezor war nicht das einzige Kryptowährungsunternehmen, dessen Abonnenten schädliche E-Mails erhielten. Auch CoinTracking und BitBox bestätigten Kampagnen gegen ihre Newsletter-Empfänger, wie aus Berichten über die betroffenen Kryptowährungsunternehmen hervorgeht.

CoinTracking identifizierte Brevo als seinen Anbieter und meldete eine Nachricht mit dem Titel Data Breach Notice: Please refresh API Keys as soon as possible. Dieser Köder sollte die Empfänger unter dem Vorwand, ihre API-Zugangsdaten zu sichern, auf einen schädlichen Link führen.

Kompromittierte API-Schlüssel könnten je nach den für den jeweiligen Schlüssel vergebenen Berechtigungen Portfoliodaten offenlegen oder unbefugte Aktionen ermöglichen. Bestätigte Verluste und die Zahl der betroffenen CoinTracking-Empfänger sind nicht bekannt.

BitBox warnte seine Newsletter-Abonnenten, kontaktierte den Anbieter, meldete Phishing-Domains und erklärte, die meisten zugehörigen Links seien offenbar entfernt worden. Das Unternehmen machte keine Angaben dazu, wie viele Empfänger Ziel des Angriffs waren, und nannte Brevo in der angeführten Erklärung nicht öffentlich.

Die Auswirkungen auf mehrere Unternehmen zeigen, warum Marketingplattformen attraktive Ziele sind. Ein einziger Autorisierungsfehler kann Mailinglisten zahlreicher Kunden offenlegen und gleichzeitig Zugriff auf Versandsysteme ermöglichen, denen die Empfänger bereits vertrauen.

E-Mail-Authentifizierungskontrollen können solche Nachrichten möglicherweise nicht verhindern, wenn der Angreifer über eine autorisierte Infrastruktur agiert. Aus Sicht des empfangenden Servers kann die Nachricht deutlich legitimer wirken als eine gewöhnliche Domain-Spoofing-Mail.

Frühere Datenlecks erhöhen das Risiko maßgeschneiderter Angriffe

Die Brevo-Kampagne folgte auf eine separate Trezor-bezogene Datenpanne beim Versand- und Logistikdienstleister des Unternehmens, ShipMonk. Trezor hatte diesen Vorfall im August offengelegt.

Eine erste Schätzung ging von etwa 14.000 betroffenen Kunden aus. Eine am 4. September veröffentlichte Aktualisierung ergänzte 67.000 Kunden in den Vereinigten Staaten, wodurch sich die gemeldete Gesamtzahl auf 81.000 erhöhte.

Zu den offengelegten Datensätzen gehörten vollständige Namen, E-Mail- und Versandadressen, Telefonnummern sowie Bestellinformationen. Betroffen waren Kunden in Brasilien, Kolumbien, Italien, Portugal, Schweden und dem Vereinigten Königreich, deren Bestellungen zwischen dem 10. Mai und dem 8. August 2026 aufgegeben worden waren.

Den Benachrichtigungen zufolge nutzten die Angreifer eine kritische SQL-Injection-Zero-Day-Schwachstelle in der Analyseplattform Metabase innerhalb der ShipMonk-Umgebung aus. Die Schwachstelle ermöglichte Berichten zufolge Administratorzugriff und Datendiebstahl. Eine CVE-Kennung oder Angaben zu betroffenen Metabase-Versionen wurden nicht veröffentlicht.

ShipMonk erhielt laut Bericht von BleepingComputer über die Vorfälle außerdem Erpresser-E-Mails von der Gruppe ShinyHunters. Diese Zuordnung wurde in den anderen angeführten Berichten nicht unabhängig bestätigt.

Einige Trezor-Kunden erhielten anschließend schädliche QR-Codes per Post. Physische Adressen und Bestelldaten können Kriminellen dabei helfen, tatsächliche Besitzer von Kryptowährungen von Personen zu unterscheiden, die lediglich einen Newsletter abonniert haben.

Dies war nicht die erste Datenpanne bei einem Drittanbieter von Trezor. Im Januar 2024 kompromittierten Angreifer das externe Support-Ticket-Portal des Unternehmens und legten Namen, Benutzernamen und E-Mail-Adressen von rund 66.000 Nutzern offen.

Informationen aus verschiedenen Datenlecks können miteinander kombiniert werden. Ein Angreifer, der über den Namen einer Person, kryptowährungsbezogene Kaufhistorie, Telefonnummer, Adresse und E-Mail-Adresse verfügt, kann deutlich glaubwürdigere Szenarien für Identitätsbetrug, Erpressung oder die Wiederherstellung von Konten entwickeln.

Die Folgen können über Online-Betrug hinausgehen. Die Identifizierung von Kryptowährungsbesitzern und ihren Aufenthaltsorten birgt das Risiko von Einbrüchen, Nötigung und sogenannten Wrench-Angriffen.

Was Empfänger und Unternehmen jetzt tun sollten

Wer die E-Mail zum Thema STM32 erhalten hat, sollte sie unabhängig davon als schädlich betrachten, ob sie unter der Trezor-Domain angezeigt wurde. Der eingebettete Link sollte weder geöffnet noch erneut aufgerufen werden.

Nutzer, die eine Recovery-Phrase eingegeben haben, müssen davon ausgehen, dass das Wallet-Geheimnis kompromittiert ist. Es ist sicherer, Guthaben auf eine neu erstellte Wallet mit einem neuen Recovery-Seed zu übertragen, als lediglich die PIN zu ändern, da sich die Wallet mit dem alten Seed weiterhin rekonstruieren lässt.

Empfänger sollten außerdem:

• Wallet- und Börsenverläufe auf nicht autorisierte Transaktionen prüfen.
• Passwörter und API-Schlüssel ändern, die nach dem Aufrufen verdächtiger Links eingegeben wurden.
• Nicht benötigte API-Berechtigungen und aktive Sitzungen widerrufen.
• Überall dort, wo dies unterstützt wird, eine starke Multifaktor-Authentifizierung aktivieren.
• Wallet- und Börsendienste über bekannte Anwendungen oder durch manuelle Eingabe offizieller Adressen öffnen.
• Nachfolgende Anrufe, Briefe, QR-Codes oder auf den Vorfall bezogene „Recovery“-Dienste mit Misstrauen behandeln.

Unternehmen, die Brevo oder ähnliche Marketingplattformen nutzen, sollten SAML-Vertrauensbeziehungen überprüfen und sicherstellen, dass die Autorisierung für jeden Mandanten und jede Organisation separat durchgesetzt wird. Sie sollten Sitzungen und Tokens ungültig machen, administrative Aktivitäten überprüfen und feststellen, ob Kontaktlisten abgerufen oder exportiert wurden.

Die Überwachung sollte auch Kampagnen berücksichtigen, die über legitime Domains versendet werden, und sich nicht nur auf offensichtliche Spoofing-Versuche konzentrieren. In diesem Vorfall war die Authentizität des Versandkanals selbst Teil des Angriffs. Die Sicherheitswarnung war die Täuschung.