Sicherheitsverletzungen im Kryptobereich
In den letzten Tagen kam es zu drei Sicherheitsverletzungen, die innerhalb von nur vier Tagen auftraten. Jede dieser Verletzungen war auf einen Anbieter zurückzuführen, den die Endbenutzer nie gewählt haben und wahrscheinlich nicht einmal kannten. SafePal verlor 39.798 Kundenaufzeichnungen aufgrund eines Fehlers in einem Plugin. Trezor war betroffen, als 13.689 Datensätze über seinen Versanddienstleister ShipMonk verloren gingen. Bits of Gold, Israels größter regulierter Krypto-Broker, meldete den Verlust von etwa 200.000 Datensätzen über ein Analysetool. Bei diesen Vorfällen wurden keine Wallets geleert und keine Schlüssel gestohlen. Was jedoch entwendet wurde, ist weitaus besorgniserregender: verifiziertes Proof, dass eine Person an einer bekannten Adresse Kryptowährung besitzt, gekoppelt mit ihrer Telefonnummer und in einigen Fällen ihrer Regierungsidentifikationsnummer.
Technische Ursprünge der Vorfälle
Dieser Artikel verfolgt die drei Vorfälle zu ihrem gemeinsamen technischen Ursprung, bewertet die physische Bedrohung, die durch diese Aufzeichnungen entsteht, und untersucht, was die Reaktion der Branche über eine strukturelle Lücke offenbart, die Hardware-Wallet-Hersteller und Broker nur zögerlich schließen. Die Verbindung zwischen den Trezor- und Bits of Gold-Verletzungen wurde innerhalb weniger Stunden nach der zweiten Offenlegung klar. Beide Vorfälle sind auf CVE-2026-72898 zurückzuführen, eine kritische, nicht authentifizierte SQL-Injection-Schwachstelle in Metabase, einer Open-Source-Business-Intelligence-Plattform, die von Tausenden von Unternehmen verwendet wird, um interne Daten abzufragen und zu visualisieren.
„Ein entfernter Angreifer kann beliebige SQL-Anweisungen durch nicht deklarierte Felder im Zurücksetzungsanforderungsinhalt injizieren, Administratorzugriff auf die Metabase-Instanz erlangen und von dort aus jede Datenbank lesen, mit der die Instanz verbunden ist.“
Details der Sicherheitsvorfälle
ShipMonk, der Fulfillment-Anbieter, den Trezor für Bestellungen in den Vereinigten Staaten, dem Vereinigten Königreich, Schweden, Kolumbien, Brasilien, Italien und Portugal nutzt, betrieb eine selbst gehostete Metabase-Instanz. Angreifer nutzten CVE-2026-72898 am oder vor dem 6. August aus und griffen auf Bestelldaten von 13.689 Trezor-Kunden zu, die zwischen dem 10. Mai und dem 8. August versandt wurden. Davon hatten 11.742 vollständige Exposition, einschließlich Name, E-Mail, Telefonnummer und Lieferadresse.
Bits of Gold gab seine Verletzung am 16. August bekannt, nachdem unbefugter Zugriff auf ein Drittanbieter-Software-System festgestellt wurde, das für den Kundensupport und die Datenanalyse verwendet wurde. Das Unternehmen bestätigte die gleiche CVE. Etwa 200.000 Benutzer hatten Namen, israelische Identifikationsnummern, E-Mail-Adressen, Telefonnummern, IP-Adressen, Bankkontodaten und öffentliche Krypto-Wallet-Adressen, auf die möglicherweise zugegriffen wurde.
Der Vorfall von SafePal teilt das Timing, jedoch nicht die technische Wurzel. Der von Binance unterstützte Hardware-Wallet-Hersteller gab am 16. August bekannt, dass eine Autorisierungsschwachstelle in einem Drittanbieter-Plugin zur Sendungsverfolgung es unbefugten Personen ermöglichte, Bestellinformationen anderer Kunden einzusehen.
Physische Bedrohungen und Reaktionen
Die drei Verletzungen teilen ein Muster, das wichtiger ist als jede einzelne CVE. In jedem Fall wurden die Systeme des Unternehmens selbst nicht kompromittiert. Der Angreifer trat über einen Anbieter ein, den der Kunde nie ausgewählt hat: ein Versandlogistikunternehmen, ein Analyse-Dashboard, ein Widget zur Sendungsverfolgung. Der Kunde wählte eine Wallet oder einen Broker. Der Anbieter-Stack dahinter war unsichtbar.
Die Standardberuhigung nach einer Verletzung dieser Art ist, dass keine Gelder kompromittiert wurden. Diese Sichtweise behandelt die Daten als eine Belästigung, nützlich für Phishing-E-Mails, die ein vorsichtiger Benutzer erkennen und löschen kann. Sie verpasst die Kategorie von Verbrechen, die diese Aufzeichnungen speisen.
„CertiK’s H1 2026 Wrench-Angriffsbericht dokumentierte 52 bestätigte Vorfälle von physischer Gewalt, die verwendet wurden, um Kryptowährung von Opfern zu extrahieren, ein Anstieg von 33 % gegenüber den 39 Vorfällen im ersten Halbjahr 2025.“
Schlussfolgerungen und Empfehlungen
Die Angriffsfläche ist nicht die Anzahl der Anbieter. Es ist die Anzahl der Anbieter multipliziert mit der Anzahl der Aufzeichnungen, die jeder von ihnen hält, multipliziert mit der Zeit, die diese Aufzeichnungen bestehen. Drei strukturelle Änderungen würden den Radius der nächsten Verletzung reduzieren. Keine erfordert neue Technologie. Alle erfordern Entscheidungen, die Unternehmen bisher vermieden haben.
Die erste ist die Sicherheitszertifizierung der Anbieter. Jedes Unternehmen, das Krypto-Kundendaten verarbeitet, sollte von seinen Anbietern verlangen, dass sie aktuelle Patch-Stufen für internetfähige Software aufrechterhalten und Nachweise über diese Compliance zu einem festgelegten Zeitplan vorlegen.
Die zweite ist die Minimierung von Adressen. Ein Fulfillment-Anbieter benötigt eine Lieferadresse, um ein Paket zuzustellen. Er benötigt diese Adresse nicht nach der Bestellbestätigung.
Die dritte ist die transparente Offenlegung von Anbietern. Kunden, die eine Hardware-Wallet oder einen Broker wählen, haben derzeit keine Möglichkeit zu wissen, welche Anbieter ihre Daten erhalten werden.
Die Branche behandelt Adressdaten als logistische Details und nicht als sicherheitskritische Vermögenswerte, obwohl Adressdaten in Verbindung mit dem Nachweis des Krypto-Besitzes ein höheres Risiko pro Datensatz schaffen als eine gestohlene Kreditkartennummer, die umkehrbar ist.
Die Ankündigung von Trezor zur anonymen Lieferung ist das erste Zeichen dafür, dass zumindest ein Unternehmen das strukturelle Problem erkennt. Ob Wettbewerber folgen und ob der Ansatz über den Versand hinaus auf Analyse-, Support- und Marketing-Tools ausgeweitet wird, wird bestimmen, ob der August 2026 zu einem Wendepunkt wird oder zu einem weiteren Vorfall, der Offenlegungen, Benachrichtigungen und keine dauerhaften Veränderungen hervorbringt.
