Trezor hebt Datenleck bei ShipMonk auf über 80.000 Kunden an und offenbart Datenhoheit
Trezor bestätigt, dass ShipMonk Bestellungen aufbewahrt hat, die es für gelöscht hielt; ein Fehler im Metabase (CVE-2026-72898) hat zusätzlich 67.000 Datensätze geöffnet und bringt die Gesamtzahl über 80.000.
Trezor bestätigte in der vergangenen Woche, dass das Datenleck bei seinem Logistikbetreiber ShipMonk nicht nur die bereits im August benachrichtigten Kunden betrifft, sondern auch 67.000 weitere Käufer in den Vereinigten Staaten, was die bekannte Gesamtanzahl auf über 80.000 exponierte Datensätze anhebt. Das tschechische Unternehmen für Hardware-Wallets gab an, am 2. September von ShipMonk informiert worden zu sein, und veröffentlichte am 4. September die neue Mitteilung an die Kunden. Die ergänzende Menge umfasst Bestellungen, die zwischen November 2019 und August 2021 bearbeitet wurden, einen Zeitraum einer früheren Partnerschaft, die Trezor als beendet ansah.
Das Metabase wurde zum Eintrittspunkt
Der Angriff geht auf die Ausnutzung einer Zero-Day-Sicherheitsanfälligkeit im Metabase zurück, einer Open-Source-Business-Intelligence-Plattform, die von ShipMonk in einer selbstgehosteten Instanz verwendet wird. Der Fehler, katalogisiert als CVE-2026-72898, ist eine unautorisierte SQL-Injektion mit einer CVSS-Bewertung von 10,0 und ermöglicht es dem Angreifer, die gesamte Produktdatenbank ohne Anmeldeinformationen abzufragen. ShipMonk meldete den unbefugten Zugriff am 10. August; Trezor gab die erste Mitteilung am 13. August heraus und nannte 13.689 betroffene Kunden.
Dieselbe Schwachstelle betrifft ein weiteres Unternehmensopfer derselben Operation, den Kryptowährungs-Broker Bits of Gold, was darauf hindeutet, dass ShipMonk eine einzige Metabase-Umgebung betrieb, die zwischen Kundenkonten geteilt wurde. Dieses Detail ist für Unternehmenskäufer wichtig: Wenn die logistische SaaS die Analyse von Bestellungen für mehrere Marken in einer einzigen Instanz zentralisiert, kann ein Fehler in der BI-Schicht alle gleichzeitig exponieren, selbst wenn die Marken keine kommerzielle Beziehung zueinander haben.
Es gab keine Kompromittierung der physischen Trezor-Wallets oder der Seed-Phrasen der Kunden, beide waren designtechnisch außerhalb des logistischen Flusses isoliert. Die exfiltrierten Daten sind operativer Natur: Namen, E-Mails, Telefonnummern, Lieferadressen und Bestellnummern aus dem Zeitraum, in dem ShipMonk Produkte von Trezor versandte.
Der kritische Punkt ist das Löschversprechen
Trezor behauptet, dass es ShipMonk wiederholt um die Löschung der Daten nach Ende der Partnerschaft gebeten hat und eine schriftliche Bestätigung erhalten hat, dass die Löschung erfolgt sei. Die Dateien blieben jedoch in der Datenbank. Diese Klausel, die in Verträgen zur Datenverarbeitung unter GDPR und LGPD üblich ist, wurde in zwei Hinsicht verletzt: der vertraglichen Pflicht zur Zerstörung und der Pflicht zur Ehrlichkeit über die Einhaltung. Das Wort des Anbieters, ohne technische Überprüfung, war weniger wert als die Bestellungen, die er behauptete, gelöscht zu haben.
Der Fall eröffnet eine Diskussion, die Datenexecutives bereits aufgeschoben hatten: Wie lässt sich die Einhaltung von Löschklauseln bei Anbietern, die SaaS oder physische Dienstleistungen betreiben, überprüfen, ohne den Betrieb zu behindern? Wenige Verträge sehen technische Scans nach Beendigung vor, und noch weniger sehen eine Aufbewahrung von Nachweisen durch den Verantwortlichen vor. Das Standardmodell bleibt das Vertrauen in die Erklärung der Gegenpartei, das nun offiziell unzureichend ist für Geräte, die ebenfalls unter den sogenannten Wrench-Angriffen leiden: physische Angriffe auf Eigentümer von Krypto-Assets, die anhand von Wohnadressen in Logistikdatenbanken identifiziert werden.
Der geografische Umfang und das nächste Ziel
ShipMonk betreibt Verteilzentren für Kunden in den USA, Großbritannien, Schweden, Kolumbien, Brasilien, Italien und Portugal. Dies erweitert den Umfang dessen, was andere Marken, die denselben Anbieter beauftragt haben, möglicherweise ihren eigenen Nutzern kommunizieren müssen, mit unterschiedlichen regulatorischen Implikationen in jeder Jurisdiktion. Die ANPD in Brasilien verlangt eine Benachrichtigung der Betroffenen in Fällen, die ein erhebliches Risiko darstellen, und europäische Regulierungsbehörden könnten die Nichteinhaltung der Löschverpflichtung nach Artikel 17 der GDPR, die für den engagierten Auftragnehmer gilt, einordnen.
Für den CISO eines Unternehmens, das Waren über einen Drittanbieter-Logistikdienstleister versendet, stellen sich sofort drei Überlegungen. Erstens, ob der Anbieter selbstgehostete Metabase-Instanzen betreibt, und falls ja, den Nachweis über die Behebung der CVE-2026-72898 vor dem nächsten Geschäftszug zu verlangen. Zweitens, die Klauseln zu Aufbewahrung und Löschung in bestehenden Verträgen zu überprüfen und Zeitrahmen sowie Überprüfungsmechanismen anzupassen. Drittens, die kryptografische Rotation von Bestellidentifikatoren und die Verwendung von Zwischenderressen für sensible Produkte in Betracht zu ziehen, eine Praxis, die Trezor selbst bereits für neue Zyklen prüfen hat signalisiert, und die dem Anbieter die Fähigkeit entzieht, nützliche Informationen eigenständig zu speichern.
Die grundsätzliche Frage ist nicht technischer Natur. Es ist eine Frage der vertraglichen Governance: Wenn eine Kette der Hoheit davon abhängt, was der Anbieter zu tun verspricht, übernimmt der Käufer das volle Risiko einer Lüge. Der Fall Trezor zwingt den Unternehmensmarkt für Logistik dazu, zu diskutieren, ob die nächste Generation von Verträgen neben dem Versprechen auch eine Art von kryptografischem Beleg verlangt, der nachweist, dass die Daten tatsächlich aus der Datenbank entfernt wurden.