币圈界报道：

四起硬件钱包数据泄露事件揭示供应链安全漏洞

2026年10月29日，美国比特币硬件钱包Passport制造商Foundation承认其部分后端系统遭入侵，攻击者利用合法凭证发送伪装成官方通知的钓鱼邮件。尽管用户持有的Passport设备本身未被破坏，但大量个人身份信息已进入公开流通领域。

邮件投递系统成主要突破口

此次事件并非孤立，而是三个月内第四起类似攻击。攻击者并未直接渗透钱包固件或芯片，而是瞄准了用于客户沟通的邮件服务——Mailgun与Google Workspace。数据显示，超过23,000封伪造邮件被成功投递，其中19,057封经由Mailgun，1,503封通过Google Workspace发出，均属公司正常通信通道。

非客户地址占比超五千，数据来源存疑

值得注意的是，有超过5,000个收件人地址并不在Foundation的客户数据库中。这一现象表明，攻击者可能从第三方平台、黑市交易或过往泄露数据中获取了额外名单，使得受害者范围远超预期，甚至包括非购买者。

自托管应用漏洞引发连锁反应

初步归因于Cloudflare API密钥泄露，后续披露显示攻击者实际是通过一个运行在企业服务器上的自托管应用程序漏洞进入系统。这类部署虽增强数据控制力，却也意味着企业必须自行承担全部安全维护责任，一旦更新滞后，便成为攻击入口。

核心数据未受侵，但传输链路已失守

受影响的数据集中于旧版在线商店系统，涵盖约5,600个邮政地址、5,200个电话号码及姓名与邮箱。尽管公司强调支付信息与恢复助记词未被存储，且无法确认所有记录是否均遭访问，但其坦率声明有助于用户采取最坏情况预判。

邮件认证机制未能拦截真实授权邮件

SPF、DKIM与DMARC等标准验证机制在此案中失效，原因在于邮件确由合法服务商（Mailgun/Google Workspace）发出，签名有效且发件域匹配。系统无法识别“账户背后的人”是否为内部员工，导致常规反欺诈策略形同虚设。

行业性风险浮现：外围环节成首选目标

从Trezor到SafePal，再到Keystone与Foundation，四家厂商无一例外地遭受外部攻击，路径均为订单管理、物流配送或邮件系统。相比破解芯片成本高昂，获取数万条持有加密货币者的住址更具经济价值，成为攻击者高效筛选目标的利器。

地址与电话：不可撤销的数字烙印

与可重置密码不同，家庭住址和联系电话一旦泄露便永久存在。它们不仅是身份标识，更构成“曾购买硬件钱包”的明确证据，使持币者成为高价值攻击目标。此类信息被用于精准钓鱼或物理威胁，风险等级远高于普通电商平台数据泄露。

虚构召回骗局：制造紧迫感诱导转账

钓鱼邮件以“设备召回”为名，要求用户转移资金并提供恢复助记词。该设计模仿真实流程，利用用户对设备安全性的信任心理。然而，正规召回不涉及资金转移或助记词输入，任何时间压力或紧急警告皆为典型诈骗信号。

三类敏感信息永不可外传

Foundation重申：企业绝不会索要恢复助记词、PIN码或密码短语。这些信息仅存在于设备内部，必须通过物理按钮输入。任何要求在网页、聊天窗口或客服对话中提供上述内容的行为，无论界面多么逼真，均属欺诈。

欧盟用户权利保障：GDPR条款下的维权路径

根据《通用数据保护条例》第15条，受影响者有权向Foundation申请查阅其持有的个人数据；第34条则强制公司在高风险泄露事件中主动通知用户。德国居民可在一个月内未获回应时向州级数据保护机构投诉，并依据第82条主张损害赔偿，但需证明具体损失。

设备安全未动摇，但生态链亟待加固

尽管四起事件均未波及私钥或助记词，但暴露了围绕硬件钱包构建的商业与物流体系存在严重脆弱性。用户应重新评估资产保管策略：是否过度集中于单一设备？恢复助记词是否仅存放于一处？小额流动资金是否更适合使用软件钱包？长期持有者仍应坚持自我托管原则，但需搭配多层级防护机制。