币圈界报道：

Passport 硬件钱包厂商确认钓鱼邮件源于被攻陷的 Cloudflare API 密钥

生产 Passport 硬件钱包的 Foundation 公司已证实，近期从其官方域名发出的钓鱼邮件，可追溯至一个被非法获取的 Cloudflare API 密钥。该公司强调，部分客户记录曾存储于攻击者可访问的系统中，但目前尚未发现任何证据表明 Passport 设备或其私钥受到实际威胁。

事件溯源与应急响应措施

Foundation 在 X 平台发布声明，首次披露该事件细节。指出用户接收到的伪装成官方通知的垃圾邮件，其技术路径源于一个已被盗用的 Cloudflare 接口凭证。发现问题后，公司立即终止所有现存 API 访问权限，并清除相关恶意域名的传播路径。

值得注意的是，就在数日前，Foundation 曾在社交平台提示公众：电子邮件账户是数字身份中最易受攻击的环节。建议用户采用独立强密码、为关键账户设置专用邮箱，并尽可能启用硬件支持的通行密钥或双重验证机制以提升防护等级。

最新数据显示，此次攻击共引发超过 23,000 次钓鱼尝试。其中，约 19,000 封邮件通过 Mailgun 发送，另有 1,500 多条经由 Google Workspace 通道投递。部分收件人遭遇重复发送，其余则在送达前被拦截或未能成功投递。

调查发现，原 WooCommerce 系统中的订单数据在迁移过程中未被彻底清除，导致旧数据库仍保留有客户信息。尽管按流程应在发货后 60 天完成脱敏处理，但新系统更新仅覆盖了当前表单，而历史副本依然存留。此外，退款记录、弃购购物车及联系表单也包含部分未清理的敏感字段。

令人关注的是，有 5,000 个接收钓鱼邮件的地址并未出现在 Foundation 的 WooCommerce 或后续迁移至 Shopify 的客户名单中。为确保万无一失，公司正对所有系统密钥进行强制轮换，包括那些可能已被访问但尚不确定的凭证。同时，一份离线保存的旧版 WooCommerce 数据副本将用于后续调查，待完成后将永久销毁。

公司明确表示：“截至目前，我们未发现任何迹象显示本次事件导致 Passport 设备或其所持有的私钥遭到侵害。”

行业多起类似安全漏洞接连曝光

近几个月来，多个主流加密钱包品牌相继曝出数据泄露问题。今年 8 月，Trezor 供应商 ShipMonk 声明，超过 67,000 名用户的姓名、城市及电子邮箱信息被窃取。同年 10 月，链上分析机构指出，从东南亚授权经销商 CryptoBilis 购买 Ledger 钱包的用户中，可能存在高达 8000 万美元的资产损失，部分设备甚至被植入未经授权的恶意固件。

就在 Foundation 发布公告的前一天，另一主要厂商 Keystone Wallet 也披露了一起安全事件。该公司称，10 月 20 日，其官网遭受未授权访问，导致客户的物流信息（如收货地址和购买商品）被提取。不过，公司重申，钱包密码、私钥以及银行账户和支付卡信息均未被波及。