Trezor und BitBox warnen vor gefälschten Sicherheitswarnungen bei Hardware-Wallets

Wenn ich eines in den letzten Jahren über Krypto gelernt habe, dann das: Die Hardware-Wallet ist meistens nicht das Problem – der Mensch davor ist es. Genau darauf setzen gerade Kriminelle wieder verstärkt. Trezor und BitBox (Shift Crypto) schlagen Alarm, und das nicht ohne Grund.
Die Masche ist altbewährt, aber offenbar brandgefährlich: Ihr bekommt eine E-Mail, die aussieht, als käme sie direkt von Trezor oder BitBox. Dringender Ton, klare Aufforderung zu handeln. Angeblich gab es einen Sicherheitsvorfall, die Firmware sei kompromittiert, oder das Konto müsse sofort verifiziert werden. Klickt man auf den Link, landet man auf einer täuschend echten Seite, die nach der Recovery-Phrase fragt – den 12 oder 24 Wörtern, mit denen man seine Coins wiederherstellen kann. Wer die eingibt, ist sein Geld in der Regel sofort los.
Was BitBox herausgefunden hat, macht die Sache unangenehm: Offenbar sind mehrere Bitcoin-Unternehmen über denselben Newsletter-Dienstleister ins Visier geraten. Das heißt, wahrscheinlich wurden nicht die Wallets selbst geknackt, sondern die E-Mail-Kanäle der Anbieter. Trezor hat inzwischen eingeräumt, dass es bei seinem E-Mail-Service einen unbefugten Zugriff gab. Angreifer könnten dadurch an echte Kundenadressen gelangt sein – und verschicken nun umso überzeugendere Phi



shing-Mails.
Beide Hersteller sagen es glasklar, und ich kann das nur wiederholen: Kein seriöser Anbieter fragt jemals per E-Mail, Telefon oder Chat nach eurer Recovery-Phrase. Niemals. Diese Wörter sind der einzige Schlüssel zu euren Coins. Wer sie digital eingibt – egal wo – riskiert alles. Wenn so eine Nachricht kommt: löschen, nicht klicken. Im Zweifel die offizielle Webseite direkt im Browser aufrufen und sich dort informieren.
Für Wallet-Besitzer ist das ein erneuter Weckruf. Die Geräte selbst sind sicher, die privaten Schlüssel verlassen die Hardware nie. Aber der Mensch bleibt die Schwachstelle. Phishing zielt nicht auf Verschlüsselung, sondern auf Unachtsamkeit. Wer seine Recovery-Phrase offline aufbewahrt – auf Papier oder Metall – und sie nie in einen Browser, eine App oder ein E-Mail-Formular tippt, ist gegen diese Masche weitgehend geschützt.
Die Branche reagiert: verschlüsselte Kommunikation, Warnungen in den Apps, Zwei-Faktor-Authentifizierung, wo es geht. Trotzdem zeigt der aktuelle Fall, dass Phishing eine der größten Bedrohungen bleibt – solange Kriminelle mit einfachen Mitteln an große Mengen an Kundenadressen kommen. Also: nicht nur die Wallet sichern, sondern auch das E-Mail-Konto. Und bei unerwarteten Sicherheitswarnungen grundsätzlich erst mal misstrauisch sein.