币圈界报道：

Passport用户警惕假冒召回邮件：系蓄意窃取助记词的网络钓鱼

Foundation官方发布安全警报，指出近期出现大量伪装成其品牌发出的恶意邮件，声称发现严重供应链漏洞并要求用户参与所谓“产品召回”。经核实，该事件实为精心策划的网络钓鱼骗局，未涉及真实硬件缺陷或系统入侵。

仿冒支持页面诱导提交核心恢复凭证

此类欺诈信息于2026年10月25日集中传播，通过伪造的“召回通知”链接引导用户访问高度仿真的虚拟支持站点。邮件中提及Passport Founder’s Edition、Core及Prime型号设备，并以CEO Zach Herbert名义发出，营造出高度可信的假象。

攻击者利用用户对安全事件的敏感心理，虚构设备在制造或物流环节被篡改的情境，迫使用户在“保护资产”的名义下主动提供12词恢复短语。这些信息被用于重建钱包控制权，且攻击范围涵盖比特币、以太坊与Solana等多个主流链。

尽管Passport设计初衷是实现自我托管与高安全性，但伪造页面却强制索取跨链钱包凭证。此外，邮件内容模仿了Herbert一贯的沟通风格与公司技术术语，显著提升欺骗成功率。

一旦泄露即面临资产全损风险

若用户在仿冒网站输入有效恢复短语，攻击者将获得完全的钱包控制权限，甚至无需接触物理设备即可完成资金转移。目前无证据显示Passport固件、硬件安全模块或Foundation后台系统遭到破坏，整个攻击链的核心在于直接获取用户私密信息。

因此，即使更换设备或更新固件，也无法挽回已泄露的种子信息。用户必须将受影响钱包视为彻底暴露，及时将剩余资产迁移至新生成的、使用全新恢复短语的钱包中。

行业性钓鱼浪潮持续升级，多品牌遭波及

此次事件与今年9月针对Trezor和BitBox用户的协同攻击高度相似。当时，攻击者同样以“助记词生成缺陷”为由，诱导用户进入伪造验证平台。其中，Trezor事件涉及第三方邮件服务商账户被盗，而BitBox则确认其通讯服务提供商存在数据泄露问题。

更广泛的风险还包括因客户数据外泄引发的定向诈骗。例如，Keystone披露部分用户购买记录与地址信息被泄露，使攻击者能精准模拟客服对话。此前，Ledger用户也因电商合作伙伴Global-e的数据泄露，收到冒充企业合并通知的钓鱼邮件。

截至当前，Foundation尚未公布本次伪造邮件的实际接收人数，亦未披露仿冒网站运营方身份，或是否已有恢复短语被成功提取。公司重申，所有安全相关事宜应通过官方渠道核实，拒绝任何未经请求的凭证索取行为。