币圈界报道：

四起硬件钱包数据泄露事件揭示供应链安全短板

美国比特币硬件钱包品牌Passport的制造商Foundation于2026年10月29日披露，其部分后端系统遭黑客渗透，攻击者利用获取的凭证向客户发送伪造的钓鱼邮件。尽管钱包设备及内部私钥未受波及，但大量用户的姓名、电话号码和邮政地址可能已被泄露。

三月内第四起同类攻击，模式高度一致

此次事件是三个月内发生的第四起针对硬件钱包提供商的数据泄露案，攻击路径如出一辙：目标并非设备本身，而是销售系统、发货商或邮件服务接口。一旦信息流出，个人身份数据便永久暴露，无法撤销或替换。

攻击者来源多样，客户名单之外另有渠道

Foundation在致客户信中指出，共检测到超过23,000次钓鱼尝试，其中19,057封通过Mailgun、1,503封通过Google Workspace发出，均为官方通信渠道。更值得关注的是，超5,000个收件地址不在其客户数据库中，表明攻击者还从其他非法途径获取了数据。

漏洞入口为自托管应用，非固件层面

最初归因于Cloudflare API密钥泄露，后续确认攻击者实则通过一个自托管应用程序中的安全缺陷进入系统。这类部署方式虽提升控制权，但也意味着企业必须自行负责所有更新维护，一旦疏忽即成风险敞口。

数据泄露发生在交付途中，范围约5,600地址

受影响数据源于一个老旧的电商系统，涵盖约5,600个邮寄地址、5,200个电话号码以及姓名与邮箱。公司明确表示无法确认是否所有记录均被访问。支付信息与恢复助记词未存储于此，符合行业规范。

SPF/DKIM/DMARC为何未能拦截伪造邮件

尽管邮件经由标准验证协议（SPF、DKIM、DMARC）认证，但因其使用合法授权的服务通道发送，签名有效，系统无法识别发件人真实身份。这使得基于域名的过滤机制失效，唯一可靠的防御仍在于内容审查。

四家厂商接连中招，皆因外围系统薄弱

2026年8月，Trezor与SafePal相继发生类似事件；10月20日，Keystone商店系统遭入侵。四家公司分别通过物流商、邮件平台或遗留系统被攻陷。攻击者偏好低成本批量获取用户画像，而非高成本破解单个设备。

家庭住址无法更改，成为长期风险源

与可重置的密码不同，住址和电话号码一旦泄露，将长期伴随用户。购买硬件钱包的行为本身就构成敏感信号，易被用于精准钓鱼——包括伪装召回通知诱导扫码或转移资金。

虚构召回诈骗：利用信任机制设局

欺诈邮件声称“设备存在安全隐患需召回”，并引导用户转移余额。此类话术模仿真实流程，制造紧迫感，迫使用户跳过验证步骤。真正的召回仅涉及更换设备，绝不会要求输入助记词或转账。

永不索取的三类敏感信息

制造商明确承诺：不会索要恢复助记词、PIN码或密码短语。这些信息仅存在于设备本地，且必须通过物理按钮输入。任何在线请求都应视为欺诈行为。即使面临恐慌情绪，也不应更改助记词，否则反而引入新风险。

欧盟用户可行使数据权利，依法维权

根据GDPR第15条，受影响者有权申请查阅自身数据；第34条规定，若存在高风险，企业须主动通知。德国居民可在一个月内未获回应时向州级监管机构投诉，并依据第82条提出损害赔偿，但需证明具体损失。

设备安全未破，交易环境亟待加固

今年四起事件共同揭示：硬件钱包核心功能完好，私钥始终受保护，真正受损的是围绕其构建的数字生态。用户应重新审视资产配置策略，避免集中托管，合理分配软件钱包与硬件钱包用途，提升整体抗风险能力。