币圈界报道：

四家硬件钱包数据泄露事件：核心数据外泄但私钥未损

2026年10月29日，美国比特币硬件钱包品牌Passport的制造商Foundation正式披露，其部分后端系统遭黑客渗透，并被用于向客户发送伪装成官方通知的钓鱼邮件。尽管用户手中的Passport设备未受威胁，但姓名、邮箱、电话及邮政地址等敏感信息可能已落入攻击者之手。

三次同类事件后的最新案例：攻击目标非设备本身

此次事件是近三个月内第四起针对硬件钱包服务商的数据泄露。攻击路径一致：并非直接攻破设备固件或芯片，而是利用销售平台、物流商或邮件服务系统的漏洞进行间接入侵。一旦个人信息流出，便永久无法撤销，尤其是家庭住址这类长期有效的身份标识。

超两万次钓鱼尝试：两大通信渠道遭滥用

根据公司发布的客户信函，2026年10月期间共检测到超过23,000次钓鱼邮件投递行为。其中19,057封经由Mailgun系统发出，1,503封来自Google Workspace——均为Foundation日常客户沟通所依赖的正规渠道。更值得注意的是，有逾5,000个收件地址并不在官方客户数据库中，表明攻击者已从其他来源获取了大量潜在目标名单。

入侵起点：自托管应用中的安全缺口

最初归因于Cloudflare API密钥泄露的说法随后被修正。最终确认，攻击者通过一个运行在公司自有服务器上的自托管应用程序中的漏洞进入内部系统。该类应用虽提供更高的控制权与隐私性，但也意味着企业必须自行承担所有更新与补丁责任，任何疏漏都可能成为突破口。

数据泄露范围：订单流程中的薄弱环节

受影响的信息主要来自一个较旧的电商系统，涵盖约5,600个邮寄地址、5,200个电话号码以及姓名与电子邮箱。公司坦承无法确认是否所有记录均被访问。支付凭证与恢复助记词不在其中，因合规厂商不会存储此类关键信息。

SPF/DKIM/DMARC为何失效？真实域名下的虚假身份

尽管采用了SPF（发件人策略框架）、DKIM（域密钥识别邮件）和DMARC（域名基于消息验证）等标准验证机制，但邮件仍成功绕过过滤。原因在于攻击者使用了合法授权的邮件服务节点，使签名与权限均符合规范。因此，仅凭发件人域名无法判断其真实性，内容审查成为唯一有效防线。

三个月内四家厂商接连中招：外围系统成主要靶点

此非孤立事件。2026年8月，Trezor因物流合作方ShipMonk遭侵而泄露近14,000名客户资料；同年10月，SafePal亦遇类似问题；10月20日，Keystone在线商店被攻陷，影响人数估计在1.8万至2.6万之间。四案共用同一模式：攻击者瞄准交易链路而非设备本体，以低成本获取高价值目标群体画像。

家庭地址不可更改：物理位置即身份标签

与普通购物不同，购买硬件钱包的行为本身即构成一种“可信信号”——它表明持有者正在主动管理加密资产。这一特性使地址成为极具价值的攻击入口。攻击者可借此发起精准钓鱼，或策划物理劫持风险。虽然后者罕见，但仍需警惕资产集中存放的风险。

骗局设计：虚构召回诱导资金转移

钓鱼邮件谎称“设备召回”，要求用户点击链接并转移资金。此类话术模仿真实流程，利用用户对安全更新的信任心理。然而，正规召回绝不涉及资金转移或输入助记词。时间压力（如“2小时内操作”）是典型欺诈特征，权威机构从不设置此类紧急时限。

三类绝对不可透露的信息：恢复助记词、PIN码与密码短语

Foundation重申：任何合法厂商均不会索取恢复助记词、PIN码或密码短语。这些信息仅能在设备本地输入，且永不上传云端。任何要求输入这些内容的请求，无论形式多么像官方，皆为诈骗。此外，数据泄露无需立即更改助记词——此举反而会引入新风险，造成不必要的迁移成本。

欧盟用户权利保障：依据GDPR行使知情与申诉权

对于身处德国的用户，此次事件触发《通用数据保护条例》第15条（数据访问权）与第34条（泄露通知义务）。若未收到通知，可主动致信请求查看自身数据。若一个月内未获回应，可向所在州数据保护机构投诉。虽可主张损害赔偿，但需证明实际损失，单纯数据泄露不足以成立索赔。

核心结论：设备安全可靠，生态链亟待加固

今年发生的四起数据泄露事件揭示了一个矛盾现实：硬件钱包本身的安全机制坚不可摧，但围绕它的商业与服务系统存在明显短板。用户应重新审视资产分配策略——避免将全部持仓集中于单一设备，恢复助记词应多重备份并妥善防护，小额资金可采用软件钱包灵活管理，长期持有则继续依赖硬件设备。