币圈界报道：

四家硬件钱包制造商接连遭遇数据泄露，用户隐私面临严峻挑战

美国比特币硬件钱包品牌Passport的制造商Foundation在2026年10月29日向客户通报，其部分后端系统遭到入侵，攻击者利用该权限向用户发送伪装成官方通知的钓鱼邮件。尽管钱包设备本身未受波及，但用户的姓名、联系方式及邮寄地址等敏感信息可能已被获取。

三月内第四起同类攻击，模式高度一致

此次事件是继Trezor、SafePal与Keystone之后，三个月内第四起针对硬件钱包提供商的数据泄露事件。攻击目标并非设备固件或存储芯片，而是供应链中的外围环节——包括发货服务商、在线商店后台以及客户通信系统。一旦个人信息被窃取，便无法撤销或替换，尤其是家庭住址这类永久性标识。

超过五万条记录暴露，攻击者来源不明

根据公司披露，相关钓鱼邮件尝试达23,000次，其中19,057封经由Mailgun系统发出，1,503封通过Google Workspace投递。值得注意的是，有超过5,000个收件人地址并不属于Foundation的客户名单，表明攻击者还从其他渠道获取了数据，这意味着非客户也可能成为目标。

漏洞根源：自托管应用的安全盲区

最初归因于Cloudflare API密钥泄露的说法随后被修正。据后续说明，攻击者实际是通过一个自托管应用程序中的安全缺陷渗透至内部基础设施。自托管虽赋予企业更高控制权，但也意味着必须自行承担更新与防护责任。这一特性在加密领域中普遍存在，却也带来相应风险。

核心资产未受影响，私钥仍处于隔离状态

制造商明确表示，本次事件未影响Passport设备内的私钥或恢复助记词。由于硬件钱包采用物理隔离设计，私钥始终保留在独立芯片中，不连接网络，也无法被远程提取。因此，用户的数字资产安全性并未直接动摇。

数据泄露发生在交付途中，范围难以界定

泄露数据来自一个较旧的电商平台系统，涉及约5,600个邮政地址和5,200个电话号码，以及姓名与电子邮箱。然而，公司坦承无法确认是否所有记录均被访问。支付信息与恢复短语均未存储于此，符合行业标准实践。

三大邮件认证机制失效，因发件路径合法

SPF、DKIM与DMARC三项邮件验证机制未能拦截此次攻击，原因在于邮件通过合法授权渠道（Mailgun与Google Workspace）发送，签名有效且来源服务器被信任。这使得伪造邮件在技术层面“合规”，常规检查手段失效，唯有内容审查才能识别异常。

攻击者瞄准低门槛高价值目标

四起事件虽入口各异，但共性明显：攻击者聚焦于客户数据库而非设备本身。相较破解单台设备成本高昂，获取数千条拥有加密资产持有者的地址更具经济价值。此类行为反映出攻击者对目标筛选逻辑的精准把握。

家庭地址无法更改，构成持久风险

与可重置的密码不同，住址与电话号码一旦泄露便永久暴露。尤其当它们与持有硬件钱包的行为关联时，形成极具吸引力的攻击靶点。攻击者借此实施钓鱼诱导，或为未来潜在的物理入侵提供线索。

虚构召回骗局：诱导转移资金与输入助记词

邮件中声称发起“设备召回”并要求用户转移资金，模仿真实流程以增强可信度。然而，正规召回不会要求用户输入助记词或转移余额。此类操作实为诈骗关键步骤——一旦获取助记词，账户即刻被清空，且无需接触实物设备。

永不索取的核心信息：助记词、PIN码与密码短语

Foundation强调，任何合法机构绝不会索要恢复助记词、PIN码或密码短语。这些信息应仅通过设备本地界面输入，绝不应在网页、聊天窗口或第三方平台提交。违反此原则的请求，无论外观如何正式，皆为欺诈。

德国用户享有的法律权利与救济途径

依据《通用数据保护条例》（GDPR），受影响的德国用户有权申请查阅其个人数据（第15条），并在高风险情况下要求及时通知（第34条）。10月29日的信函已履行该义务。若一个月内未获回应，可向所在州监管机构投诉，甚至依法主张损害赔偿，但需证明具体损失。

资产安全未破，保管策略亟待重构

尽管四起事件均未波及私钥，但交易环境的脆弱性令人警醒。用户应重新审视资产分配方式：是否将全部持仓集中于单一设备？恢复助记词是否仅存于一处且缺乏物理防护？建议对高频小额资金使用软件钱包，长期持有则保留于硬件设备。

同时，对于频繁交易者而言，选择持牌受监管交易所更为合适，例如具备欧盟MiCA认证的平台，以实现合规与安全双重保障。