Eine perfekt gestaltete Sicherheitswarnung im Namen von Trezor landete in Postfächern, verschickt über die echte Absenderdomain. Der angebliche Hardware-Bug existiert nicht, das Ziel der Angreifer waren scheinbar die Wallet-Backups der Empfänger. Von einem ganz ähnlichen Problem sind auch BitBox und CoinTracking betroffen.
Am Abend des 9. September 2026 erreichte Trezor-Kunden eine E-Mail mit einer Betreffzeile, die eine „STM32 Entropy Vulnerability“ ankündigte. Der Text behauptete, ein Fabrikationsfehler in den STM32-Mikrocontrollern betreffe etwa jedes vierte Gerät und erzeuge Recovery-Phrasen mit nur 40 Bit Entropie. Wer prüfen wollte, ob er betroffen ist, sollte einem Link folgen und dort seine Wörter sowie seinen Extended Public Key eingeben. Um 20:37 Uhr bestätigte Trezor auf X, dass ein externer E-Mail-Dienstleister kompromittiert wurde und die Mail ein Phishing-Versuch ist. Die verwendete Domain wurde abgeschaltet.
Wie die Mail durch alle Prüfungen kam
Der Angriff traf nicht Trezor selbst, sondern den Marketingdienstleister Brevo. BitBox teilte fast gleichzeitig mit, dass sehr wahrscheinlich der eigene Newsletter-Anbieter kompromittiert wurde und mehrere Bitcoin-Unternehmen denselben Dienstleister nutzen. Die Spur führt zum französischen Anbieter Brevo, in dessen betroffenen Accounts scheinbar unberechtigt neue API-Keys erstellt wurden. Auch das Steuertool CoinTracking bestätigte, dass ein unbefugter Dritter Zugang zum eigenen Brevo-Konto hatte.
Damit fällt die wichtigste Faustregel zur Erkennung von Spam und Phishing-Versuchen für die Kunden weg. Denn die Nachrichten liefen über die echten Absenderdomains und bestanden die üblichen E-Mail-Authentifizierungen. Mechanismen wie SPF, DKIM und DMARC prüfen, welcher Server sendet, nicht wer diesen Server kontrolliert. Ein Blick auf den Absender beweist in solchen Fällen nichts.
CoinTracking hat den Vorfall inzwischen selbst gegenüber den eigenen Nutzern eingeräumt und hat den externen Dienstleister ausdrücklich benannt. Laut der Kundeninformation verschaffte sich am 9. September ein unbefugter Dritter Zugang zum Brevo-Konto der Firma und verschickte darüber eine Phishing-Mail an einen Teil der Nutzer, die scheinbar von support@cointracking.info stammte und das Design des Anbieters kopierte.
Die gefälschte Nachricht behauptete ein Datenleck vom Januar 2026 mit kompromittierten xPub-Keys und forderte über die fremde Domain redirect-cointracking.com zum Erneuern der API-Keys auf. Beides ist nach Angaben des Unternehmens frei erfunden, die Domain gehört nicht zu CoinTracking. Das Mail-Konto sei abgesichert, die Untersuchung laufe gemeinsam mit den beteiligten Dienstleistern. Wer dort Zugangsdaten eingetippt hat, soll sein Passwort wechseln und Zwei-Faktor-Authentifizierung aktivieren. Wer eine Seed-Phrase oder einen Private Key eingegeben hat, soll die Wallet als kompromittiert behandeln und die Bestände sofort auf ein neues Wallet übertragen, wie es weiter in der E-Mail heißt.
Bemerkenswert ist die Abwandlung des Köders. Statt direkt nach den Seed-Wörtern zu fragen, arbeitet die CoinTracking-Version mit API-Keys und xPub-Daten, also mit genau den Begriffen und Features, die Nutzer eines Portfolio-Trackers ohnehin regelmäßig anfassen.
Warum die STM32-Geschichte glaubwürdig klang
Im Fall von Trezor haben die Angreifer nichts neues erfunden, sondern abgeschrieben. Am 30. Juli 2026 wurden rund 594 BTC aus etwa Coldcard-Wallets abgeräumt, weil ein Build-Fehler seit März 2021 die Seed-Erzeugung auf einen Software-Zufallsgenerator umleitete und die effektive Entropie bei Mk3-Geräten von 128 auf etwa 40 Bit senkte. Diese Zahl tauchte in der Phishing-Mail wieder auf, nur mit Trezor als Absender. Trezor hatte im August erklärt, dass alle Modelle mehrere unabhängige Entropiequellen kombinieren und im Standardbetrieb mindestens 128 Bit erzeugen.
Kunden von BitBox erreicht eine ganz ähnliche E-Mail, die vor einem Entropie Bug warnt. Daher knüpft dieser Phishing-Versuch ebenfalls an den Coldcard-Vorfall an.
Vier Wochen, drei Dienstleister
Das Muster wiederholt sich. Nach dem Einbruch beim Versandpartner ShipMonk meldete Trezor am 4. September rund 67.000 zusätzlich betroffene US-Kunden aus Bestelldaten von November 2019 bis August 2021, insgesamt etwa 80.700 Datensätze mit Namen, Adressen, Telefonnummern und E-Mail-Adressen. Bereits im Januar 2024 waren rund 66.000 Kunden über einen Support-Zugang betroffen, und im Februar erhielten Trezor- und Ledger-Kunden gefälschte Briefe mit Hologrammen und QR-Codes. Die Geräte halten, die Partner rundherum scheinbar nicht.
Genau deshalb ist die xPub-Abfrage in der Phishing-Mail bemerkenswert. Wer nur den Extended Public Key herausgibt, verliert keine Coins, offenbart aber die komplette Transaktionshistorie und den Bestand. In Kombination mit geleakten Wohnanschriften wird daraus ein Werkzeug zur Auswahl lohnender Ziele.
Wie man sich jetzt verhalten sollte
Grundsätzlich sollten Anleger unerwartete Sicherheitswarnung als feindlich betrachten, unabhängig davon, wie korrekt der Absender aussieht. Ferne sollten keine Links in solchen Mails geöffnet werden. Stattdessen empfiehlt es sich, die Domain des jeweiligen Anbieters eigenständig im Browser zu öffnen und dort zu prüfen, ob die Warnung authentisch ist. Alternativ kann man Social-Media-Konten der Anbieter prüfen, weil dort relativ schnell auf Probleme reagiert wird.
Die eigene Seed-Phrase sollte unter keinen Umständen preisgegeben werden. Nicht auf der Webseite eines Herstellers, in keinem Formular und in keinem Prüftool, auch nicht in eines, das angeblich offline läuft. Eine Passphrase auf dem Gerät entwertet ein gestohlenes Backup zwar zusätzlich. Wer seine Seed-Phrase jedoch bereits eingegeben hat, sollte sie als kompromittiert betrachten und die Bestände sofort auf ein neu erzeugtes Wallet übertragen.
Stand 10. September 2026 ist offen, ob in den betroffenen Brevo-Konten auch Empfängerlisten ausgelesen wurden. Sollte das der Fall sein, dann ermöglicht das weitere Attacken ohne den kompromittierten Dienstleister. Wer Kryptowährungen verwahrt oder handelt, sollte also in den kommenden Wochen besonders aufmerksam bleiben.
