币圈界报道：

四起硬件钱包数据泄露事件揭示供应链脆弱性

2026年10月29日，美国比特币硬件钱包品牌Passport的制造商Foundation正式通报客户，其部分后端系统遭入侵，攻击者利用合法凭证发送伪造邮件。尽管用户持有的Passport设备本身未被波及，但大量个人身份信息——包括姓名、邮箱、电话及邮政地址——可能已被非法获取。

三月内第四起：攻击路径高度一致

此次事件是三个月内第四起针对硬件钱包提供商的数据泄露，且模式高度相似：攻击目标并非设备固件或芯片，而是销售流程中的第三方系统，如发货服务商、邮件投递平台和旧版订单管理后台。由于这些数据一旦泄露便不可逆，家庭住址这类敏感信息成为永久性风险点。

邮件系统遭劫持，真实域名难辨真伪

Foundation披露，攻击者共发起超过23,000次钓鱼尝试，其中19,057封经由Mailgun、1,503封通过Google Workspace发出，两者均为公司官方通信渠道。更令人警觉的是，超过5,000个被攻击地址不在其客户名单中，表明攻击者已从其他渠道获取了潜在用户的联络信息。

漏洞入口：自托管应用中的安全疏漏

最初误判为Cloudflare API密钥泄露，后续澄清显示，攻击者实则通过一个自托管应用程序中的未修复漏洞进入内部网络。自托管虽赋予企业更高控制权，但也意味着所有更新与防护责任均由自身承担，一旦疏忽，后果严重。

泄露范围：交易链上的非核心节点

受影响数据涵盖约5,600个邮寄地址、5,200个电话号码，以及姓名与电子邮箱。这些信息来自一个老旧的电商平台系统，且公司明确表示无法确认是否所有记录均被访问。值得注意的是，支付凭证与恢复助记词从未存储于该系统中，符合行业基本安全规范。

三大认证机制为何失效？

SPF、DKIM与DMARC本应拦截伪造发件人，但在本案中均未能发挥作用。原因在于邮件通过了合法授权的投递服务，签名有效，系统认证通过。这意味着，即使发件人地址看似真实，也无法保证其背后操作者为合法员工。

同一逻辑下的多起攻击：为何选择外围？

过去三个月内，Trezor、SafePal、Keystone及Foundation相继中招，攻击入口分别为物流商ShipMonk、在线商店权限、邮件系统与遗留数据库。攻击者偏好此类低门槛高回报目标：单次入侵即可获取数千条具备高价值的资产持有者信息。

地址不可撤回，风险长期存在

与可重置的密码不同，家庭住址和联系电话一旦泄露即永久暴露。这使得购买硬件钱包的行为本身成为一种可被追踪的信号——它向外界表明某人正在亲自保管加密资产，从而成为精准钓鱼的目标。

虚构召回：伪装成正规流程的欺诈手段

钓鱼邮件以“设备召回”为名，诱导用户转移资金并输入恢复助记词。此类设计极具迷惑性，因召回确有先例，且涉及账户安全问题时用户易产生焦虑情绪。但真正的召回不会要求转账或输入种子短语，任何时间压力或紧急警告皆属典型诈骗特征。

永不索取的核心信息：识别骗局的铁律

Foundation重申，任何正规厂商绝不会索要恢复助记词、PIN码或密码短语。这些信息仅能在设备本地输入，绝不应出现在网页表单、聊天窗口或客服对话中。违反此原则的请求，无论来源多么可信，皆为欺诈。

欧盟用户享有的法定权利：访问与通知权

根据GDPR第15条，德国及其他欧盟地区用户有权要求查看公司持有的本人数据；第34条规定，若数据泄露构成重大风险，企业必须主动通知。Foundation已于10月29日履行通知义务，未收到通知者可通过同一渠道申请数据访问。

数字资产保管方式的再审视

今年的系列事件既揭示了供应链安全短板，也验证了设备本身的可靠性。私钥未受威胁，但围绕设备的交易环境正面临严峻挑战。建议用户重新评估资产分配策略：避免将全部余额集中于单一设备，恢复助记词应分散存放于防火防水环境，并考虑使用软件钱包处理日常小额流动资金。