Eine Brevo-Sicherheitslücke kompromittierte 138 Kundenkonten; sechs davon wurden für Phishing gegen Trezor, BitBox und CoinTracking genutzt.
Eine Autorisierungslücke im Login-System des E-Mail-Dienstleisters Brevo hat es einem Angreifer ermöglicht, Phishing-Nachrichten über die legitimen Konten mehrerer Krypto-Unternehmen zu verschicken. Betroffen waren laut Cointelegraph unter anderem der Hardware-Wallet-Hersteller Trezor, der Schweizer Wallet-Anbieter BitBox und die Portfolio-Tracking-Plattform CoinTracking. Bei Trezor erreichte die Phishing-Mail nach Unternehmensangaben rund 347.000 Newsletter-Abonnenten.
Brevo erklärte in einem am Donnerstag veröffentlichten Postmortem, dass ein Angreifer ein eigenes Konto anlegte, Single Sign-on aktivierte und anschließend legitime Brevo-Nutzer in diese Konfiguration einlud. Eigentlich hätte der Zugriff auf die Organisation des Angreifers beschränkt bleiben müssen – eine fehlerhafte Autorisierungsgrenze gewährte den eingeladenen Nutzern jedoch Zugriff auf jede Organisation, die sie erreichen konnten.
Phishing-Mail erreichte rund 347.000 Trezor-Abonnenten
Insgesamt waren laut Brevo 138 Kundenkonten kompromittiert. Sechs Konten wurden konkret zum Versand von Phishing-E-Mails genutzt, aus 43 Konten wurden Kontakte exportiert, und bei 93 Konten stellte Brevo keine nennenswerte Aktivität fest. Ob sich diese Kategorien überschneiden, ließ das Unternehmen offen.
Die an Trezor-Kunden verschickte Nachricht trug den Titel „Critical Security Alert: STM32 Entropy Vulnerability“ und verlinkte auf eine Anwendung, die Wallet-Backups der Empfänger abfragte. Trezor deaktivierte die zugehörige Domain nach eigenen Angaben innerhalb von 20 Minuten auf DNS-Ebene, doch rund 2.500 Personen hatten den Link bereits aufgerufen. Ein Trezor-Sprecher teilte Cointelegraph mit, das im Brevo-Konto gespeicherte Datenset habe ausschließlich opt-in-Newsletteradressen enthalten, keine weiteren Kundendaten – das Unternehmen behandelt die rund 347.000 Adressen dennoch als dem Angreifer bekannt und potenziell für weiteres Phishing wiederverwendbar.
BitBox bestätigte ebenfalls einen unautorisierten Versand über Brevo, der offenbar die vollständige Newsletter- und Tutorial-Liste erreichte. Nach eigener Prüfung fand das Unternehmen keine Hinweise auf kompromittierte Unternehmenszugänge, verlorene Gelder oder offengelegte Recovery-Phrasen – ähnliche Datenschutzrisiken bei zentralen Krypto-Dienstleistern behandelte zuletzt auch der Bericht über Binance und die Weitergabe von Nutzerdaten. CoinTracking meldete eine Mail mit dem Betreff „Data Breach Notice: Please refresh API Keys as soon as possible“ und warnte Empfänger explizit davor, den darin enthaltenen Links zu folgen.
Kein Beleg für gestohlene Wallet-Gelder
Wichtig zur Einordnung: Die vorliegenden Angaben belegen einen Zugriff auf Brevo-Konten sowie den Versand beziehungsweise Export von Kontaktlisten – nicht den erfolgreichen Diebstahl von Wallet-Guthaben. Dass 347.000 Adressen als potenziell bekannt gelten, bedeutet nicht, dass alle Empfänger auf die Phishing-Seite geklickt oder Zugangsdaten preisgegeben haben. Ähnlich zeigte sich zuvor bereits beim Coldcard-Sicherheitsvorfall, dass Schwachstellen im Umfeld von Hardware-Wallets unterschiedliche Risikostufen haben können.
Weitere Untersuchungen stehen aus
Brevo erklärte, die ausgenutzte Schwachstelle inzwischen behoben zu haben und mit Behörden zu kooperieren. Cointelegraph erhielt vor Veröffentlichung keine weitere Stellungnahme des Unternehmens, weshalb offene Fragen zum genauen Ausmaß der Kontaktexporte vorerst unbeantwortet bleiben.
Nutzer von Trezor, BitBox und CoinTracking sollten Links aus unerwarteten Sicherheits-E-Mails grundsätzlich nicht öffnen und entsprechende Warnungen nur über offiziell und unabhängig aufgerufene Kanäle prüfen. Kryptowährungen sind pseudonym, nicht anonym, und Transaktionen sowie Kontodaten unterliegen je nach Anbieter KYC-Pflichten – wer eine verdächtige E-Mail erhält, sollte die Absenderdomain und den Kontext unabhängig verifizieren, bevor er Zugangsdaten oder Wallet-Backups eingibt.