币圈界报道：

四家硬件钱包厂商数据外泄：攻击路径与防护盲区全透视

2026年10月29日，美国比特币硬件钱包品牌Foundation正式通报其部分后端系统遭入侵，攻击者利用合法通信渠道向客户发送伪造邮件，诱导用户点击恶意链接。该公司强调，其核心设备Passport的固件及私钥存储机制未受波及，但用户姓名、电话号码、邮寄地址等敏感信息可能已被泄露。

三月内第四起同类事件：攻击目标始终在供应链末端

此次事件是继Trezor、SafePal及Keystone之后，三个月内第四起针对硬件钱包服务商的数据泄露。共同特征为：攻击入口并非设备本身，而是销售平台、物流履约系统或客户沟通服务。这表明攻击者正将重心从高成本的芯片级破解转向低成本的大规模信息获取——一次成功即可获取数千名持有加密资产者的精准画像。

关键漏洞溯源：自托管应用成突破口

初步归因于被攻陷的Cloudflare API密钥，后续澄清显示，攻击者实际通过一个运行在公司自有服务器上的自托管应用程序中的安全缺陷进入系统。该应用虽避免了云服务依赖，但需企业自行维护更新，一旦疏忽便成为致命弱点。这一模式凸显了“自主运维”带来的双重风险：灵活性提升的同时，安全责任也完全转移至运营方。

泄露范围界定：遗留系统中的5600个地址存疑

Foundation披露，受影响数据包括约5,600个邮政地址、5,200个电话号码及对应姓名与邮箱。这些信息来自一个较旧的电商系统，且公司明确表示无法确认所有记录是否均被访问。更令人担忧的是，超过5,000封钓鱼邮件投递至非客户邮箱，说明攻击者已从外部渠道获取了额外名单，进一步扩大潜在受害面。

邮件验证机制失效：为何防骗工具未能拦截

SPF、DKIM与DMARC等标准用于验证发件人身份，但在本案例中全部失灵。因为邮件经由公司授权的Mailgun与Google Workspace系统发出，签名真实、来源合法，即便背后是黑客操控也无法被过滤器识别。这意味着仅凭域名真实性判断已不可靠，唯一有效防线回归到内容审查——检查措辞、时间压力与行为逻辑。

共性模式浮现：从订单数据库挖掘价值

四起事件虽入口各异，但本质相同：攻击者瞄准的是客户购买行为所生成的结构化数据。相比单台设备的私钥，一个包含住址与联系方式的客户列表具有极高情报价值，可直接用于定向钓鱼或物理威胁。这也揭示了硬件钱包厂商在构建“数字信任”时，对前端生态安全投入仍显不足。

地址无法撤销：唯一持久的身份标签

与密码或信用卡不同，家庭住址和电话号码一旦泄露便永久有效。只要您继续使用该设备并居住在同一地点，这些信息就将持续暴露。这种不可逆性使它成为攻击者最理想的筛选工具——谁买了硬件钱包，谁就是潜在目标。

召回骗局设计精巧：伪装真实流程诱导转账

伪造邮件以“设备召回”为名，要求用户转移资金并提供恢复助记词。此类说法极具迷惑性，因真实召回确实存在，且涉及安全问题，易引发恐慌。然而，正规召回不会要求用户转移余额或输入种子短语。任何设定紧急时限的请求都应被视为高危信号，符合德国联邦信息安全办公室（BSI）列出的典型网络钓鱼特征。

永不索取的三类信息：识别诈骗的核心铁律

Foundation重申，任何官方渠道绝不会索要恢复助记词、PIN码或密码短语。这三者属于绝对私有，必须通过设备本地输入，严禁在线提交。无论邮件外观多么专业，只要出现此类请求，即为欺诈无疑。同时提醒用户，数据泄露无需更换助记词——该信息从未存储于服务器，更改只会带来迁移风险。

欧盟用户权利保障：依据GDPR行使知情权与追偿权

根据《通用数据保护条例》（GDPR），德国居民有权要求Foundation提供其所持有的个人数据（第15条），并在高风险情况下获得正式通知（第34条）。若一个月内未获回应，可向所在州监管机构投诉。虽然仅凭数据泄露本身难以主张赔偿（需证明具体损失），但法律框架已为维权提供基础路径。

资产保管再审视：从集中到分散的必要进化

今年的系列事件虽令人不安，却也揭示一个关键事实：设备本身依然可信，真正脆弱的是围绕它的交易环境。建议用户重新评估资产配置：是否将全部持仓置于单一设备？恢复助记词是否仅存放于一处且缺乏物理防护？对于高频小额操作，软件钱包更具实用性；长期持有时，硬件设备仍是首选。最终，真正的安全不在于技术，而在于策略的合理性与冗余性。