Betrüger versenden gefälschte Ledger- und Trezor-Briefe, um Seed-Phrasen zu stehlen

Betrüger verwenden gefälschte Postbriefe und QR-Codes, um Trezor- und Ledger-Nutzer dazu zu verleiten, Wallet-Seed-Phrasen preiszugeben.

Krypto-Phishing-Angriffe beschränken sich nicht mehr nur auf E-Mails und gefälschte Anzeigen. Kriminelle schicken jetzt physische Briefe an Hardware-Wallet-Nutzer. Die Briefe wirken offiziell und fordern zu schnellem Handeln auf, um die Empfänger dazu zu verleiten, ihre Wiederherstellungsphrasen preiszugeben und ihre Gelder zu stehlen.

Trezor- und Ledger-Nutzer vor QR-Code-Phishing-Briefen gewarnt

Bedrohungsakteure versenden Briefe an Nutzer, in denen sie sich als Trezor und Ledger ausgeben, zwei große Hersteller von Hardware-Wallets. Die Briefe behaupten, Nutzer müssten eine erforderliche „Authentifizierungsprüfung“ oder „Transaktionsprüfung“ durchführen. Sie warnen, dass ein Versäumnis dazu führen könnte, dass der Zugriff auf das Wallet gestört wird. Jeder Brief enthält einen QR-Code, der die Empfänger auf Phishing-Webseiten führt.

Berichte zeigen, dass die Briefe offiziell aussehen und die Logos sowie das Branding der Unternehmen verwenden. Gleichzeitig hatten beide Firmen in der Vergangenheit Datenverletzungen, bei denen Kundendaten offengelegt wurden. Gestohlene Postinformationen könnten die Reichweite der Kampagne ermöglicht haben.

Der Cybersicherheitsexperte Dmitry Smilyanets teilte auf X einen dieser gefälschten Briefe. In diesem Fall gaben Betrüger vor, sich als Trezor auszugeben, und forderten die Nutzer auf, bis zum 15. Februar 2026 eine Authentifizierungsprüfung durchzuführen. Bei Nichtbeachtung sollte der Zugriff auf Trezor Suite gestört werden.

Außerdem wurde den Nutzern in dem Brief geraten, einen QR-Code mit ihrem Smartphone zu scannen und den Anweisungen auf einer Webseite zu folgen. Es wurde Druck ausgeübt, da die Aktion sofort erforderlich war, obwohl die Funktion bereits aktiviert sein könnte. Ziel der Betrüger war es, die Menschen zu schnellem Handeln zu verleiten, ohne nachzudenken.

Ein ähnlicher Brief wurde an Ledger-Nutzer verschickt. Er behauptete, eine verpflichtende „Transaktionsprüfung“ stehe kurz bevor. Mit einer Frist bis zum 15. Oktober 2025 wurde gewarnt, dass das Ignorieren zu Transaktionsproblemen führen könnte.

Das Scannen der QR-Codes führte zu gefälschten Webseiten, die wie offizielle Trezor- oder Ledger-Seiten aussahen. Die Ledger-bezogene Seite ging später offline, während die gefälschte Trezor-Seite online blieb, aber von Cloudflare als Phishing erkannt wurde.

Die gefälschte Trezor-Seite zeigte ein Warnbanner, das die Nutzer aufforderte, die Authentifizierung bis zum 15. Februar 2026 abzuschließen. Für bestimmte neuere Trezor Safe-Modelle, die nach dem 30. November 2025 gekauft wurden, wurde eine Ausnahme auf der Seite hinzugefügt. Die Behauptung deutete an, dass diese Geräte vorkonfiguriert seien.

Außerdem forderte die letzte Seite die Nutzer auf, ihre Wallet-Wiederherstellungsphrase einzugeben. Das Formular erlaubte 12, 20 oder 24 Wörter. Um den Besitz zu bestätigen, musste die Phrase aktiviert werden. In Wirklichkeit würde das Eingeben der Phrase den Betrügern vollen Zugriff auf das Wallet ermöglichen.

Seed-Phrase-Sicherheit im Fokus, da Offline-Kriminalität steigt

Physisches Phishing ist weniger verbreitet als E-Mail-Betrügereien. Allerdings gab es bereits früher postalische Kampagnen. Im Jahr 2021 versuchten Kriminelle, modifizierte Ledger-Geräte zu verschicken, die während der Einrichtung dazu dienten, Wiederherstellungsphrasen zu erfassen. Im April tauchte eine weitere Welle postalischer Phishing-Angriffe auf Ledger-Nutzer auf.

Hardware-Wallet-Anbieter warnen wiederholt davor, niemals Wiederherstellungsphrasen zu teilen. Keine legitime Aktualisierung oder Sicherheitsüberprüfung erfordert die Eingabe einer Seed-Phrase online. Unternehmen fordern solche Daten weder per Post, E-Mail noch telefonisch an.

Gleichzeitig zeigt die zunehmende Raffinesse der Betrügereien, dass das Risiko für Krypto-Halter weiterhin besteht. Offline-Methoden können für manche Nutzer glaubwürdiger erscheinen, da gedruckte Briefe offiziell und dringend wirken können.

Daher sollten Nutzer Sicherheitsmitteilungen stets direkt über offizielle Webseiten verifizieren. Das manuelle Eingeben bekannter Webadressen ist sicherer als das Scannen unbekannter QR-Codes. Verdächtige Briefe sollten umgehend bei Wallet-Anbietern und Cybersicherheitsbehörden gemeldet werden.