币圈界报道：

四家硬件钱包制造商遭遇数据泄露：安全防线在交易环节崩塌

美国比特币硬件钱包品牌Passport的制造商Foundation于2026年10月29日向客户披露，其部分后端系统遭黑客入侵，并被用于发送伪装成官方通知的钓鱼邮件。尽管设备本身未受波及，但用户的姓名、联系方式及邮政地址可能已被非法获取，且无法更改或撤销。

三月内第四起同类攻击：攻击路径高度一致

此次事件是继Trezor、SafePal与Keystone之后，年内第四起针对硬件钱包销售生态的数据泄露案。共同特征在于，攻击目标并非设备固件，而是订单处理流程中的第三方系统——包括物流服务商、邮件投递平台和旧版电商平台。这些环节虽不直接存储私钥，却暴露了大量具备高价值的用户画像。

攻击入口锁定：自托管应用存在安全盲区

初步归因于Cloudflare API密钥泄露的说法随后被修正。据后续说明，攻击者实则通过一个运行于公司自有服务器上的自托管应用程序中的漏洞渗透进入内部网络。这类系统虽提升数据自主性，但也意味着企业必须自行承担全部更新与防护责任，一旦疏忽即成突破口。

数据泄露范围：遗留系统成为信息黑洞

受影响数据涵盖约5,600个邮寄地址、5,200个电话号码，以及姓名与电子邮箱。这些信息源自一个老旧的在线商店系统，且公司明确表示无法确认是否所有记录均被读取。值得注意的是，支付凭证与恢复助记词均未存于该系统，符合行业最佳实践。

邮件验证机制失效：合法签名无法阻止欺诈

SPF、DKIM与DMARC等标准邮件认证机制未能拦截本次攻击，原因在于邮件经由合法授权渠道（Mailgun与Google Workspace）发出，签名真实有效。这意味着即便发件人域名正确，也无法排除账户被冒用的可能性，传统“看发件地址”策略在此类事件中完全失灵。

外围攻击成常态：为何选择非核心系统？

相比破解芯片或固件，攻击者更倾向于入侵订单数据库，因其成本低、收益高——一次突破即可获取数千名持有加密资产者的精确身份信息。这种模式在四起事件中反复出现，暴露出制造商在运营系统安全管理上仍存短板。

家庭住址不可撤回：唯一持久的身份标识

与可随时重置的密码不同，居住地址和电话号码一旦泄露便永久有效。这使得购买硬件钱包这一行为本身成为一种信号，吸引攻击者定向发起钓鱼攻击。此类邮件常以“设备召回”为由诱导用户扫描二维码或输入恢复短语，从而实现资金转移。

骗局设计：模拟真实召回流程制造紧迫感

邮件内容模仿正规召回程序，强调限时操作与潜在风险，旨在制造心理压力，迫使用户跳过验证步骤。实际上，任何正规厂商绝不会要求用户将余额转移至新地址或提供助记词。德国联邦信息安全办公室（BSI）指出，此类时间限制正是典型诈骗标志。

绝对禁止事项：永不输入的三大敏感信息

Foundation重申，任何官方机构都不会索要恢复助记词、PIN码或密码短语。这些信息仅能在设备本地输入，且永远不应出现在网页表单、聊天窗口或支持对话中。只要牢记此铁律，即可避免绝大多数钓鱼陷阱。

欧盟用户权利保障：依据GDPR行使知情权与申诉权

根据《通用数据保护条例》第15条，受影响的德国用户有权要求查看其个人数据的处理情况；第34条则规定，若存在高风险，企业须主动通知。目前，Foundation已履行通知义务。如未收到通知，可通过同一渠道申请访问权限，并在一个月内未获回应时向所在州的数据监管机构投诉。

核心结论：设备安全可靠，但生态链仍脆弱

尽管四起事件均未影响私钥或恢复助记词，但整个交易环境的安全性受到严重挑战。建议用户重新评估资产保管策略：避免单一设备集中持有，合理分配资金至软件钱包用于日常使用，同时确保恢复短语存放于防火防水的物理位置，并定期审查自我托管层级。