币圈界报道：

四家硬件钱包数据泄露：私钥未损，但地址已暴露

2026年10月29日，美国比特币硬件钱包制造商Foundation承认其部分后端系统遭入侵，攻击者利用漏洞向客户发送伪装成官方的钓鱼邮件。尽管设备本身未受波及，但超过5,600个邮政地址、约5,200个电话号码及姓名、邮箱等信息可能已被泄露，且无法回收。

邮件系统成主攻目标，非设备本身

此次事件并非针对Passport硬件钱包的固件或芯片，而是攻击了用于客户沟通的邮件投递平台。公司披露，攻击者通过一个自托管应用程序中的安全缺陷进入内部网络，进而操控了其使用的Mailgun与Google Workspace系统。超过23,000次钓鱼尝试被记录在案，其中近六成来自这两个渠道。

攻击范围超出客户名单，威胁扩散

值得注意的是，超过5,000封钓鱼邮件发送至非客户邮箱，表明攻击者还获取了其他来源的联系信息。这意味着即便你未购买该品牌产品，也可能成为目标。公司已撤销所有相关凭证，下线受影响系统，并承诺发布事故全貌报告。

自托管应用漏洞暴露管理盲区

自托管软件虽提升控制权，但也意味着企业必须自行维护更新。一旦疏漏，便可能成为攻击入口。Foundation强调，此次事件未影响设备内的私钥存储机制——硬件钱包的私钥始终隔离于芯片内，不联网也不外泄，真正保障资产安全。

数据泄露发生于交付流程中

泄露源头位于订单处理链路：从商店后台到发货系统再到运单标签。受影响的数据涵盖姓名、联系方式与配送地址，但支付信息和恢复助记词均未存于该系统。公司坦承无法确认是否全部记录被读取，建议用户假设最坏情况应对。

邮件认证机制未能拦截伪造请求

SPF、DKIM与DMARC等标准依赖发件服务器合法性验证。由于邮件经由合法渠道发出，签名有效，系统判定为可信。这导致传统“检查发件人”方法失效。唯一可靠判断方式回归内容本身：如时间压力、资金转移要求等异常行为。

三个月内第四起同类事件，模式高度一致

这不是孤立事件。2026年8月至10月间，Trezor、SafePal、Keystone相继曝出类似问题，皆因物流商、邮件服务或遗留系统被攻破。攻击者选择外围环节，因其成本低、收益高——一张客户名单可覆盖数千名持币者。

家庭住址不可更改，风险永久存在

与密码或信用卡不同，住址与电话号码一旦泄露即终身暴露。尤其当这些信息与加密资产持有行为关联时，形成极具价值的目标清单。攻击者借此实施精准钓鱼，诱导用户扫描恶意二维码或输入恢复助记词。

虚构召回骗局：制造紧迫感诱骗操作

邮件以“设备召回”为由，要求用户转移资金并提供助记词。此类话术模仿真实流程，但核心逻辑错误：召回不会涉及余额转移或助记词输入。时间压力是关键诱饵，任何权威机构绝不会设定数小时响应期限。

三类核心信息永不对外索取

Foundation重申：厂商绝不会索要恢复助记词、PIN码或密码短语。这些信息仅需在设备本地输入，严禁在线提交。任何要求输入此类信息的请求，无论形式多么逼真，均为欺诈。更改助记词反而会引入新风险，不应因恐慌而操作。

欧盟用户可依法主张权利

根据GDPR第15条，受影响者有权申请访问个人数据；第34条则强制企业在高风险情况下通知用户。德国居民若未收到通知，可通过邮件依条款申请数据查阅。若一个月内无回应，可向所在州监管机构投诉，未来亦可依据第82条提出赔偿诉求，但需证明实际损失。

资产安全仍由设备守护，环境风险亟待加固

尽管四起事件均未波及私钥，但交易生态的安全性受到严峻挑战。建议用户重新评估保管策略：避免将全部资产集中于单一设备，恢复助记词应分处多地并妥善防护；小额频繁使用可考虑软件钱包，长期持有则继续使用硬件设备。