币圈界报道：

四家硬件钱包厂商接连中招：客户信息泄露成行业隐忧

2026年10月29日，美国比特币硬件钱包制造商Foundation承认其部分后端系统遭黑客入侵，并利用该权限向用户发送伪装成官方的钓鱼邮件。尽管设备本身未受波及，但大量客户个人信息——包括姓名、电话号码及邮政地址——已被非法获取。此次事件并非孤立，而是三个月内第四起类似攻击，暴露出加密设备外围生态链的安全短板。

攻击路径溯源：非设备本体，而是供应链薄弱环节

此次入侵并非针对Passport硬件钱包的固件或芯片，而是通过一个自托管应用程序中的安全漏洞实现。该应用运行于公司自有服务器，虽符合加密领域“自己掌控”的理念，却也意味着企业需自行负责所有更新与防护。攻击者借此获得访问凭证，进而操控用于客户沟通的Mailgun与Google Workspace系统，发起超过23,000次钓鱼尝试。

异常数据流揭示外部情报来源

值得注意的是，超过5,000个接收钓鱼邮件的邮箱地址并不在Foundation的客户名单中。这表明攻击者不仅窃取了内部数据库，还从其他渠道获取了潜在目标的联系方式。这意味着即使未购买产品的人也可能收到诈骗信，而真实客户未必全部收到，风险范围远超预期。

关键防线失效：合法签名无法阻止欺诈

SPF、DKIM与DMARC等标准邮件验证机制未能拦截此次攻击，原因在于邮件经由合法授权的投递平台发出，签名有效且服务器认证无误。因此，仅凭发件人域名无法判断邮件真伪。这一现象再次印证：当攻击者掌握真实服务接口时，传统身份识别手段形同虚设。

三月四案共性：攻击者瞄准交易链条而非设备本身

从Trezor到Keystone，再到SafePal与Foundation，四起事件均指向同一模式——攻击者绕开高成本的设备破解，转而侵入在线商店、物流服务商或邮件系统。这些环节虽不涉及私钥存储，却能批量获取拥有加密资产的用户画像。相较单台设备的收益，此类数据集具有极高价值，成为攻击者的首选目标。

地址与号码：不可更改的永久性隐私资产

与可重置的密码不同，家庭住址和电话号码一旦泄露便无法收回。它们构成了一条清晰的信号链：某人持有硬件钱包，且愿意亲自保管。这种身份关联使钓鱼攻击更具说服力，尤其在伪造“设备召回”等真实流程时，极易诱导用户扫描二维码或输入敏感信息。

骗局设计精巧：制造紧迫感诱导盲行操作

邮件内容虚构了紧急设备召回流程，要求用户立即转移资金并提供恢复助记词。此类措辞刻意营造时间压力，如“48小时内失效”或“账户将被冻结”，以压制用户理性判断。事实上，正规厂商绝不会在短时间内强制用户执行转账或输入种子短语的操作。

三条铁律：永远不要向任何人透露这些信息

Foundation明确声明：公司绝不会索要恢复助记词、PIN码或密码短语，也不会要求转移资金。任何索取上述信息的行为均属诈骗。恢复助记词是唯一能重建钱包的密钥，必须仅通过设备本地输入，绝不应出现在网页、聊天窗口或支持页面。即便面对看似官方的邮件，也应保持警惕。

欧盟用户权利保障：依据GDPR行使知情与申诉权

根据《通用数据保护条例》第15条，德国居民有权请求获知Foundation所持有的个人数据内容；第34条则规定，在高风险泄露事件发生后，企业有义务主动通知用户。10月29日的信函已履行通知义务。若未收到通知但曾购货，可通过正式请求启动访问程序。若一个月内无回应，可向所在州的数据监管机构投诉，未来亦可依法主张损害赔偿，但需证明具体损失。

核心结论：设备安全无虞，但环境仍存风险

尽管四起事件均未影响私钥或恢复助记词，但整个交易生态正面临严峻考验。用户应重新审视资产保管策略：是否将全部余额集中于单一设备？恢复助记词是否仅存于一处且具备物理防护？对于频繁移动的资金，软件钱包更适合作为工具；长期持有者仍应依赖硬件设备，但需确保其脱离公共网络环境。