币圈界报道：

四起硬件钱包数据泄露事件揭示供应链安全漏洞

2026年10月29日，美国比特币硬件钱包Passport制造商Foundation正式披露，其部分后端系统遭入侵，攻击者利用权限伪造官方邮件向用户发送钓鱼信息。尽管设备本身未受波及，但用户的姓名、邮箱、电话及邮政地址等个人信息可能已被窃取。

攻击路径聚焦外部服务而非设备本体

此次事件并非针对硬件钱包的固件或芯片，而是锁定其运营生态中的薄弱环节——邮件投递平台与订单履行系统。数据显示，超过2.3万次钓鱼尝试中，近两万封通过Mailgun与Google Workspace发出，均为公司日常客户沟通渠道。更值得注意的是，超五千个收件地址不在官方客户数据库内，表明攻击者已从第三方来源获取了额外名单。

入侵起点为自托管应用的安全疏漏

初步归因于被攻陷的Cloudflare API密钥，后续调查确认攻击者实则通过一个自托管应用程序中的漏洞进入系统。此类部署虽赋予企业更高控制权，但也意味着必须自行承担所有安全更新责任。一旦维护滞后，便成为攻击入口。

泄露范围覆盖交易链路中的关键节点

受影响数据主要来自一个老旧的在线商店系统，涵盖约5,600个邮寄地址与5,200个电话号码，以及姓名与电子邮箱。公司坦承无法确认是否全部记录均被访问，且支付信息与恢复助记词并未存储于该系统中，符合行业标准实践。

认证机制失效：合法签名难辨伪造意图

SPF、DKIM与DMARC等标准邮件验证协议未能拦截本次攻击，原因在于邮件经由授权服务（Mailgun与Google Workspace）发出，签名有效且来源域名真实。因此，即使发件人非员工，系统也无法识别其非法性，导致传统“检查发件地址”策略完全失灵。

三个月内第四起同类事件：攻击模式高度一致

此为2026年第三季第四起类似事件。此前Trezor、SafePal及Keystone相继曝出数据泄露，攻击点分别为物流商ShipMonk、内部系统与在线商店后台。共同特征是攻击目标为低风险高回报的客户数据集，而非难以突破的设备本身。

物理地址不可撤销，构成持久威胁

与可更换的密码不同，家庭住址与电话号码一旦泄露即永久暴露。这使得购买硬件钱包的行为本身成为一种可被追踪的信号，吸引针对性钓鱼或物理攻击。前者通过精准命名与真实地址提升可信度，后者则依赖设备持有者的身份标识进行定向渗透。

伪造召回陷阱：诱导转移资金与输入助记词

钓鱼邮件以“设备召回”为名，制造紧迫感并引导用户转移余额或输入恢复助记词。然而，正规召回流程绝不会要求资金转移或助记词输入。此类时间压力措辞正是典型欺诈信号，德国联邦信息安全办公室（BSI）已将其列为高危特征。

三类核心信息永不外传：助记词、PIN码与密码短语

Foundation明确声明，任何官方渠道均不会索取恢复助记词、PIN码或密码短语。这些信息仅在设备本地输入，绝不应出现在网页、聊天窗口或支持页面中。若遇此类请求，无论伪装多么逼真，皆为诈骗无疑。同时提醒用户：无需因数据泄露而更改助记词，此举将引发不必要的迁移风险。

欧盟用户权利保障：依据GDPR行使知情与追责权

根据《通用数据保护条例》第15条，受影响的德国用户有权要求公司披露所持有的个人数据；第34条则规定，在高风险情况下必须主动通知。10月29日信函已履行义务。如未收到通知，可通过同一渠道申请访问。若一个月内无回应，可向所在州数据保护机构投诉，未来亦可依法主张损害赔偿，但需证明实际损失。

安全警钟：设备无恙，生态仍存隐患

尽管四起事件均未影响私钥或助记词，但暴露的事实令人深思：硬件钱包的防护能力与其外围系统的管理能力严重脱节。建议用户重新评估资产配置策略：避免单一设备集中持有，考虑分层保管；小额流动资金使用软件钱包，长期持仓保留于硬件设备；高频交易者应选择持有MiCA许可的受监管交易所。