Alle erfassten Sicherheitsvorfälle bei Trezor, die neuesten zuerst, mit Schweregrad, Fix-Status und Quellen.
Ein gemeldetes Gerät, das Trezor zum Zeitpunkt der Erstellung dieses Eintrags noch nicht untersucht hatte. Die Meldung betrifft den Weg, auf dem ein Gerät zu einem Käufer gelangte, nicht das Gerätedesign.
Namen, Kontaktdaten und Lieferadressen von bis zu 80.689 Trezor-Kunden wurden über ShipMonk offengelegt, was das Risiko gezielter Phishing-Angriffe erhöht. Trezor erklärt, dass seine Systeme und Geräte nicht betroffen waren.
Ein Angreifer mit Laborausrüstung, der einen Trezor Safe 7 in Händen hält, kann beliebige Firmware auf dessen Secure Element TROPIC01 ausführen und laut Tropic Square und Ledger dessen MAC-and-Destroy-Schutz kompromittieren. Trezor erklärt, dass dies allein weder PIN noch Guthaben oder Wallet-Backup offenlegt und dass Nutzer nichts unternehmen müssen.
Ein Angreifer mit Laborausrüstung konnte einen Safe 3 in ein Gerät mit bösartiger Firmware verwandeln, das die Echtheitsprüfungen weiterhin besteht, und es dann an ein Opfer verkaufen. Geräte aus offiziellen Quellen und der Safe 5 sind laut Trezor nicht betroffen.
Ein Angreifer mit physischem Zugriff und Laborausrüstung könnte laut NinjaLab ECDSA-Schlüssel aus dem OPTIGA-Trust-M-Chip extrahieren, der in Trezor Safe 3 und Safe 5 verbaut ist. Trezor erklärt, dass Wiederherstellungs-Seed und Guthaben nicht gefährdet sind, da diese Kryptografie das Wallet-Backup nicht schützt.
Namen und E-Mail-Adressen von bis zu 66.000 Support-Kontakten wurden offengelegt, und einige erhielten daraufhin E-Mails, in denen nach ihrem Wiederherstellungs-Seed gefragt wurde. Trezor erklärt, dass keine Guthaben kompromittiert wurden und die Geräte nicht betroffen waren.
Wer auf einer solchen Fälschung eine Wallet einrichtete, nutzte einen Seed, den der Angreifer bereits kannte. Besitzer echter, über offizielle Kanäle gekaufter Geräte sind nicht betroffen.
Besitzer, die die gefälschte Trezor Suite installierten und ihre Wiederherstellungsphrase eingaben, überließen den Angreifern die Kontrolle über ihr Guthaben. Laut Trezor wurden die E-Mail-Adressen der Abonnenten und in einigen Fällen Namen und IP-Adressen offengelegt, was weiteres gezieltes Phishing begünstigt.
Ein Trezor-Nutzer, der auf einem kompromittierten Computer signierte, konnte dazu gebracht werden, zweimal zu signieren und den Großteil der Inputs der Transaktion als Gebühren zu verlieren. Trezor führt das Problem als in Trezor One 1.9.1 und Model T 2.3.1 behoben.
Wer einen Trezor One oder Model T ohne Passphrase in Händen hielt, konnte dessen Seed mit Spezialausrüstung in etwa 15 Minuten wiederherstellen. Ein durch eine BIP39-Passphrase geschütztes Gerät ist laut Kraken und Trezor nicht gefährdet.
Wer einen Trezor One oder Model T ohne starke Passphrase in Händen hielt, konnte laut Ledger dessen Seed mit preiswerter Ausrüstung in wenigen Minuten extrahieren. Trezor erklärt, dass eine Passphrase den Angriff vollständig abwehrt, und bestreitet, dass er dem Unternehmen gemeldet wurde.
Ein Angreifer mit physischem Zugriff auf einen Trezor One mit einer Firmware älter als 1.8.0 konnte den Seed aus dem Speicher auslesen, sofern keine Passphrase gesetzt war. Trezor behob die Probleme in der Trezor-One-Firmware 1.8.0; das Model T war nicht direkt betroffen und erhielt dieselben Schutzmaßnahmen in 2.1.0.
Wer physischen Zugriff auf einen geöffneten Trezor One mit einer Firmware älter als 1.5.2 hatte, konnte dessen Seed und PIN aus dem RAM auslesen; durch Passphrase geschützte Wallets waren laut der Analyse des Forschers nicht betroffen. Trezor erklärt, dass das Problem 2017 behoben wurde.
Mehr Einträge bedeuten keine unsicherere Marke: Weit verbreitete Geräte ziehen mehr veröffentlichte Forschung und mehr gezielte Angriffe an, und manche Hersteller legen mehr offen als andere.
WalletInsights. Tracker für Sicherheitsvorfälle bei Hardware-Wallets. Zuletzt geprüft am 3. November 2026. https://walletinsights.io/de/security-incidents/trezor/
Hersteller, Forschende und Leser können Korrekturen oder Stellungnahmen an security@walletinsights.io senden. Wir prüfen sie anhand der Quellen, aktualisieren den Eintrag und vermerken die Änderung im Protokoll.