币圈界报道：

四家硬件钱包厂商数据外泄：攻击者瞄准客户信息而非设备本身

近期，美国比特币硬件钱包品牌Passport的制造商Foundation承认其部分后端系统遭入侵，并利用合法通信渠道向用户发送伪造钓鱼邮件。尽管设备本身未受波及，但用户的姓名、联系方式及家庭住址可能已被泄露。该事件是三个月内第四起类似案件，揭示出攻击者正将目光聚焦于交易链路中的非核心环节。

三月内四起事件：攻击路径高度趋同

自2026年8月以来，Trezor、SafePal、Keystone及Foundation相继曝出数据泄露事故。共同点在于，攻击者均未直接侵入硬件设备或固件，而是通过在线商店系统、物流服务商或邮件投递平台渗透。这些环节虽不涉及私钥存储，却积累了大量具备高价值的用户画像——购买过加密资产硬件的人，本身就是精准目标。

攻击入口：自托管应用中的安全疏漏

最初归因于被窃取的Cloudflare API密钥，后续调查确认攻击者实际是通过一个自托管应用程序的漏洞进入系统。这类应用由企业自行维护更新，一旦遗漏补丁便成为突破口。由于责任完全在运营方，因此即便使用了行业标准协议，也无法避免风险。公司强调，此次事件未影响任何设备内的私钥存储机制。

数据泄露范围：仅限订单流程中的信息

受影响数据主要来自一个老旧的电商系统，涵盖约5,600个邮政地址、5,200个电话号码以及对应的姓名和邮箱。公司坦言无法确认是否所有记录均被读取。值得注意的是，支付凭证与恢复助记词并未存储于此，这符合行业规范——任何负责任的厂商都不会保存此类敏感信息。

邮件验证机制失效：为何防骗系统失灵

SPF、DKIM与DMARC等反伪造机制未能拦截此次攻击，原因在于邮件经由官方授权的投递服务（Mailgun与Google Workspace）发出，签名真实有效。系统无法判断发信人身份是否为内部员工，只能信任认证链。这意味着，只要攻击者控制了合法账户，就能绕过所有技术防线，依赖内容识别才是唯一可靠手段。

攻击逻辑统一：从“召回”到“转移”

诈骗邮件以“设备召回”为名，诱导用户点击链接并输入恢复助记词。此类话术模仿真实流程，制造紧迫感，要求在数小时内完成操作。然而，正规召回不会要求转移资金或输入助记词。真正的风险在于：一旦助记词外泄，资产可在任意设备上被立即清空，无需物理接触原设备。

不可撤销的信息：地址与电话的永久暴露

与密码可重置不同，家庭住址和联系电话一旦泄露即无法撤回。只要你仍在原居所使用该设备，这些信息就始终存在且可被关联。这种绑定关系使购买硬件钱包的行为本身成为攻击者的筛选条件——它暗示了持有加密资产的意愿与能力。

防御铁律：永不提供助记词、PIN码或密码短语

Foundation明确承诺：绝不会向用户索取恢复助记词、PIN码或密码短语，也不会要求转移资金。这一原则适用于所有合规厂商。任何要求输入上述信息的请求，无论来源多么可信，皆属欺诈。此外，更改助记词并非应对泄露的正确方式——它意味着创建新账户并迁移资产，反而引入新的风险。

欧盟用户权利：依GDPR行使知情权与追偿权

对于德国及其他欧盟地区用户，此事件触发《通用数据保护条例》第15条（访问权）与第34条（通知义务）。用户可主动申请查阅自身数据，若未获回应，可在一个月内向所在州的数据监管机构投诉。虽然单纯的数据泄露不足以构成赔偿依据，但如能证明实际损失，则可依法提出索赔。

安全反思：从集中保管转向分散策略

尽管四起事件中私钥均未受损，但整个生态系统的脆弱性暴露无遗。建议用户评估自身持仓结构：是否全部集中在单一设备？助记词是否仅存于一处且缺乏物理防护？对于日常小额流动资金，应考虑使用软件钱包；长期持有的大额资产则宜继续采用硬件设备。同时，频繁交易者应选择持牌交易所，确保合规与透明。