Trezor-Phishing: Die Mail kam von der echten Absenderadresse

Rund 347.000 Menschen bekamen am 9. September eine E-Mail von Trezor, dem Hersteller von Hardware-Geldbörsen für Kryptowährungen. Im Betreff warnte sie vor einer angeblichen "STM32 Entropy Vulnerability", als Absender erschien mailing@trezor.io. Die Adresse war echt, die Signatur gültig, und die Mail lief über genau den Weg, den Trezor auch sonst für seinen Newsletter nutzt, verfasst hatten sie allerdings Betrüger.

Der Text behauptete, etwa jedes vierte Trezor-Gerät habe einen Fertigungsfehler, der Zufallsgenerator sei zu schwach und die Wiederherstellungswörter ließen sich mit 40 Bit Entropie durchprobieren. Wer dem Link folgte, landete bei einer App, die nach genau diesen Wiederherstellungswörtern fragte. Damit lässt sich ein Guthaben abräumen, endgültig und ohne Rückbuchung. Trezor nahm die Domain nach eigenen Angaben binnen 20 Minuten per DNS aus dem Verkehr, doch 2.500 Empfänger hatten den Link da bereits geöffnet.

Warum der Blick auf den Absender hier nichts brachte

Verschickt wurde die Mail über Brevo, früher Sendinblue, den Newsletter-Dienstleister von Trezor. In seinem Bericht zum Vorfall beschreibt Brevo den Weg des Angreifers. Er legte ein eigenes Brevo-Konto an, aktivierte dort Single Sign-on und lud echte Brevo-Nutzer in diese Konfiguration ein. Über seinen eigenen Identity Provider konnte er sich anschließend als diese Nutzer anmelden, was für sich genommen normales SSO-Verhalten ist. Der Fehler steckte in der Abgrenzung, denn der Zugriff blieb nicht auf die eine Organisation beschränkt, sondern reichte auf alle Organisationen, die die eingeladenen Nutzer erreichen konnten.

Brevo zählt 138 betroffene Kundenkonten, aus sechs davon gingen Phishing-Mails an die dort gespeicherten Kontakte, bei 43 exportierte der Angreifer die Kontaktlisten und bei 93 blieb es ohne nennenswerte Aktivität. Brevo schloss den Weg am Morgen des 10. September, nach eigener Zeitangabe um 8:30 Uhr UTC, und meldete alle Nutzer der Plattform ab. Das Unternehmen räumt in seinem Bericht ein, genau dort versagt zu haben, wo Kunden ihm den Zugang zu ihren Adresslisten anvertrauen. Dass ein Angriff über eine echte, vertrauenswürdige Quelle läuft, ist kein Einzelfall, im Juli führte eine gekaufte Bing-Anzeige für eine gefälschte Claude-App ihre Opfer sogar auf die echte Herstellerseite.

Trezor war nicht der einzige Fall

Fast gleichzeitig traf es zwei weitere Firmen über denselben Dienstleister. Der Schweizer Hersteller BitBox meldete eine nahezu identische Mail an seine Newsletter-Empfänger, dort warnte der Betreff vor einem erfundenen Entropie-Fehler im Mikrocontroller. Bei der Steuer- und Portfolio-Plattform CoinTracking sah der Köder anders aus, weil es dort keine Hardware gibt, dort forderte die Mail dazu auf, angeblich kompromittierte API-Schlüssel zu erneuern.

Brevo ist dabei weder ein Nischenanbieter noch ein reines Krypto-Thema. Das französische Unternehmen übernahm 2019 den Berliner Anbieter Newsletter2Go samt Kundenstamm, entsprechend viele deutsche Newsletter laufen heute über diese Plattform. Auch wer nie eine Hardware-Geldbörse besessen hat, steht also mit hoher Wahrscheinlichkeit in Verteilern auf derselben Infrastruktur.

Was in so einem Fall tatsächlich hilft

Die gängige Empfehlung, auf die Absenderadresse zu achten, greift hier nicht, weil die Adresse stimmte. Auch die technischen Prüfungen SPF, DKIM und DMARC schlugen nicht an, da die Mail über die echte Infrastruktur lief. Brauchbar bleibt allein die Forderung selbst. Trezor formuliert das in seinem Beitrag eindeutig und schreibt, man werde Nutzer niemals nach ihrer Wallet-Sicherung fragen. Wer danach fragt, ist deshalb auch nicht der Anbieter, und dieselbe Logik trägt bei Banken, bei Mailanbietern und bei jedem Konto mit Wiederherstellungscodes.

Wer den Link nur angeklickt und nichts eingegeben hat, ist nach Trezors Darstellung nicht gefährdet. Wer die Wiederherstellungswörter eingetippt hat, sollte sein Guthaben sofort auf eine neue Wallet verschieben. Die Adressen dürften zudem im Umlauf bleiben. Anfang September musste Trezor einräumen, dass ein Datenleck beim Logistikpartner ShipMonk mehr als 80.000 Kunden betrifft und damit deutlich mehr als zunächst gemeldet.