Datenleck bei SafePal und Trezor: Persönliche Daten von über 54.000 Wallet-Nutzern kompromittiert

Zwei bekannte Anbieter von Krypto-Wallets stehen gleichzeitig vor einem Datenschutzproblem: Laut übereinstimmenden Berichten von Cointelegraph und Decrypt wurden in zwei getrennten Vorfällen die persönlichen Daten von insgesamt mehr als 54.000 Nutzern kompromittiert — betroffen sind Kunden von SafePal und Trezor. Für Nutzer in Deutschland ist das ein Weckruf: Wer im vergangenen Jahr Hardware-Wallets — physische Geräte zur sicheren Aufbewahrung von Kryptowährungen — bei einem der beiden Anbieter bestellt hat, könnte nun verstärkt ins Visier von Betrügern geraten.

Plugin-Fehler, Versanddienstleister, 54.000 betroffene Kunden — wie es dazu kam

Beim SafePal-Vorfall war laut Decrypt ein fehlerhaftes Order-Tracking-Plugin die Ursache: Es öffnete Unbefugten den Zugriff auf Bestelldaten von rund 39.798 Kunden. Betroffen sind Bestellungen aus dem Zeitraum 2. März 2025 bis 11. April 2026. Erbeutet wurden Namen, E-Mail-Adressen, Lieferadressen, Telefonnummern und Kaufdetails. Laut übereinstimmenden Berichten von Cointelegraph und Decrypt blieben Wallet-Zugangsdaten jedoch unangetastet: Seed Phrases — die geheimen Wiederherstellungswörter für eine Wallet —, Private Keys, Passwörter, Bankverbindungen und Ausweisdokumente waren nicht betroffen. SafePal gab den Vorfall am 16./17. August 2026 bekannt, entfernte seither mehr als 30 betrügerische Websites und Phishing-Links und informierte betroffene Kunden per E-Mail.

Der Trezor-Vorfall ist anders gelagert: Hier liegt das Problem nicht beim Hersteller selbst, sondern bei dessen Versanddienstleister ShipMonk. Rund 13.700 bis 14.000 Kunden — je nach Quelle — sind betroffen, die zwischen dem 10. Mai und dem 8. August Produkte aus den USA, Großbritannien, Schweden, Kolumbien, Brasilien, Italien oder Portugal erhalten haben.

Wenn die Wallet sicher ist, aber die Lieferkette nicht

Das Wichtigste zuerst: Kein einziges Krypto-Guthaben wurde direkt gestohlen. Weder SafePal noch Trezor melden, dass Angreifer Zugang zu Wallet-Schlüsseln oder Passwörtern erhalten hätten. Wer also seinen digitalen Besitz hinter einem Hardware-Wallet schützt, dem hat dieser Vorfall die Coins nicht weggenommen.

Die eigentliche Lehre liegt anderswo — und sie ist unbequemer: Datenschutzrisiken entstehen nicht nur in der Wallet selbst, sondern überall dort, wo personenbezogene Daten fließen. Ein schlecht gesichertes Bestell-Plugin, ein externer Versanddienstleister — und plötzlich wissen Unbekannte, wer ein Krypto-Hardware-Gerät besitzt, wo diese Person wohnt und wie sie erreichbar ist. Das ist wertvolles Rohmaterial für Betrüger.

Genau hier wird der Zusammenhang mit den sogenannten Wrench Attacks deutlich — also physischen Überfällen auf Krypto-Besitzer. Laut Decrypt hat Chainalysis für die erste Jahreshälfte 2026 bereits 46 solcher Gewalttaten mit einem Schaden von über 30 Millionen US-Dollar dokumentiert. Wer als Wallet-Besitzer identifizierbar ist, kann zum Ziel werden — nicht im Netz, sondern an der Haustür.

Für deutsche Nutzer bedeutet das: Die Frage ist nicht mehr nur "Ist meine Wallet-Firmware sicher?", sondern "Welche Spuren hinterlasse ich beim Kauf?" Bestelladressen, Telefonnummern, Kaufdaten — all das kann, wenn es in falsche Hände gerät, für gezielte Phishing\-Angriffe oder schlimmeres genutzt werden. Wachsamkeit gegenüber unaufgeforderten Nachrichten ist jetzt besonders angebracht.

Wenn die Wallet sicher ist, aber das Paket verrät, wer du bist

Hardware Wallets speichern die kryptografischen Schlüssel zu Kryptowährungen offline — also abgeschirmt vom Internet und damit schwer angreifbar für Hacker. Das macht sie bei ernstgenommenen Krypto-Nutzern beliebt. Wer eine solche Wallet kauft, hinterlässt dabei jedoch zwangsläufig klassische Bestelldaten: Name, Lieferadresse, Telefonnummer.

Genau diese Daten — und nicht die Wallet-Schlüssel selbst — sind in den aktuellen Fällen abgeflossen. Laut Berichten von Cointelegraph und Decrypt hat SafePal ausdrücklich bestätigt, dass keine Seed Phrases — die geheimen Wiederherstellungswörter, mit denen man auf ein Wallet zugreift — kompromittiert wurden. Auch Private Keys oder Zahlungsdaten seien nicht betroffen gewesen.

Das klingt zunächst beruhigend. Das eigentliche Risiko entsteht jedoch auf einer anderen Ebene: Wer weiß, dass jemand eine Hardware Wallet besitzt und wo er wohnt, hat bereits genug Information für gezielte Betrugsversuche — per E-Mail, Telefon oder sogar persönlich.

Häufige Fragen

Quellen

• Cointelegraph
• Decrypt