币圈界报道：

四起硬件钱包数据泄露事件揭示供应链脆弱性

2026年10月29日，美国比特币硬件钱包制造商Foundation正式通报客户，其部分后端系统遭黑客入侵，并被用于发送伪装成官方通知的钓鱼邮件。尽管用户持有的Passport设备未受波及，但包括姓名、电话号码、邮政地址在内的个人信息可能已被非法获取。

三月内第四起同类攻击，模式高度一致

此次事件是本年度第四起针对加密硬件钱包提供商的数据泄露案，攻击路径如出一辙：目标并非设备固件或芯片，而是销售平台、发货服务商或客户通信系统。一旦信息外流，无法撤销的家庭住址和联系方式将长期暴露在风险之中。

伪造邮件源自自托管应用漏洞

最初归因于Cloudflare API密钥泄露的说法随后被修正。据公司后续披露，攻击者实际是利用一个运行于企业自有服务器上的自托管应用程序中的安全缺陷，获得了对内部系统的访问权限。这类系统虽具备更高的控制权，但也意味着企业必须自行承担所有更新与防护责任。

关键数据范围：近万条联系信息或已曝光

受影响数据涵盖约5,600个邮寄地址与5,200个电话号码，以及对应的姓名与邮箱。这些信息来自一个较旧的电商后台系统。基金会坦承，无法确认是否所有记录均被读取，这一不确定性反而促使用户采取最坏情况下的防范措施。

标准邮件验证机制未能拦截真实域名邮件

SPF、DKIM与DMARC等主流反欺诈机制在此类事件中失效，原因在于邮件经由合法授权渠道（Mailgun与Google Workspace）发出，签名有效且来源可信。因此，即使发件人看似“官方”，也无法通过技术手段识别其背后为恶意行为者。

攻击者瞄准的是客户画像而非设备本身

从Trezor到Keystone，四起事件的共同点在于：攻击入口皆为外围系统——商店软件、物流合作方、邮件服务。相较于攻破加密芯片的高成本，窃取成千上万的购买者名单更具性价比，因为每一条记录都对应一位持有加密资产的真实用户。

地址与电话无法更改，构成永久性风险

与密码可重置不同，家庭住址和手机号一旦泄露便难以收回。它们不仅暴露了个人位置，更构建出一幅清晰的用户画像：此人拥有并亲自管理加密资产。这使得钓鱼攻击更具说服力，也催生了物理层面的风险威胁。

虚构召回骗局：诱导转移资金与输入助记词

攻击邮件以“设备召回”为名，制造紧急情境，要求用户点击链接并转移资金或输入恢复助记词。然而，正规召回流程仅涉及设备更换或寄回，绝不会要求用户操作余额转移。时间压力与恐慌情绪正是此类骗局的核心驱动力。

三类核心信息永不向外界索取

Foundation明确声明：公司绝不会要求用户提供恢复助记词、PIN码或密码短语，也不会引导资金转移。这三条信息属于绝对不可共享范畴，任何在线请求均属伪造。即便界面仿冒度极高，只要涉及上述内容，即可判定为诈骗。

德国用户可依法行使数据权利

根据《通用数据保护条例》（GDPR），欧盟居民有权申请查阅自身数据（第15条），并在高风险泄露情形下获得通知（第34条）。若未收到通知但曾购买产品，可通过邮件提出访问请求。若一个月内无回应，可向所在州数据保护机构投诉，未来亦可依据第82条主张损害赔偿，但需证明具体损失。

设备安全无虞，交易环境亟待加固

尽管四起事件均未影响私钥或恢复助记词，但整个购买与维护生态面临严峻挑战。建议用户重新评估资产配置策略：避免将全部持仓集中于单一设备；恢复助记词应多重备份于防火防水环境；小额频繁操作可使用软件钱包，长期持有则保留硬件设备。