币圈界报道：

四家硬件钱包厂商接连遭袭，用户信息外泄成普遍隐患

2026年10月29日，美国比特币硬件钱包品牌Passport的制造商Foundation正式披露，其部分后端系统遭到黑客渗透，并被用于向客户发送伪装成官方通知的钓鱼邮件。尽管设备本身未受侵害，但大量用户的姓名、联系方式及邮寄地址已被非法获取，且无法撤回或替换。

三月四起事件频发，攻击路径高度一致

此次事件是本年度第四起针对加密硬件钱包提供商的数据泄露案，模式如出一辙：攻击目标并非设备固件，而是销售平台、物流合作方或客户通信系统。一旦信息流出，便永久暴露于风险之中。公司透露，相关攻击共引发超过23,000次钓鱼尝试，其中多数通过其授权使用的Mailgun与Google Workspace渠道投递，表明攻击者已掌握合法凭证。

非客户邮箱亦遭波及，说明数据来源更广

值得注意的是，超过5,000个被攻击邮件送达的邮箱不在Foundation的客户名单中，意味着攻击者可能从第三方数据库获取了额外数据。这表明受害范围远超直接购买者，任何曾接触过相关服务的人均可能成为目标。公司已撤销所有受影响凭据，清空待发队列，并下线旧系统以防止进一步扩散。

漏洞源于自托管应用，企业运维责任凸显

最初归因于Cloudflare API密钥泄露的说法随后被修正。根据后续说明，攻击者实则利用一个运行在公司自有服务器上的自托管应用程序中的安全缺陷进入内部网络。此类系统虽提升控制力，却也要求企业自行承担更新与防护义务，一旦疏忽，即成突破口。

核心资产未受影响，设备设计机制仍有效

制造商明确表示，此次事件未影响Passport硬件钱包的物理安全或其内部存储的私钥。由于私钥始终隔离于芯片且不联网，即使后端系统被攻破，也无法提取账户余额。这一特性确保了资金本身的安全性，但交易环境的脆弱性暴露无遗。

关键信息泄露环节：订单流程中的薄弱点

泄露数据主要来自一个较陈旧的电商系统，涉及约5,600个邮政地址、5,200个电话号码以及对应的姓名与电子邮箱。公司坦承，无法确认是否所有记录均已被访问。值得强调的是，支付信息与恢复助记词从未存储于该系统，符合行业最佳实践。

标准邮件验证机制失效，真实域名难辨真伪

SPF、DKIM与DMARC等常规反欺诈机制在此类攻击中形同虚设，因为邮件经由合法服务商（Mailgun与Google Workspace）发出，签名与权限均有效。这意味着即便发件人域名正确，也不能保证其真实性。唯一可靠的识别方式回归到内容审查——检查措辞、语气与行为逻辑。

三个月内四家厂商遇袭，外围防线亟待加固

自2026年8月以来，Trezor、SafePal、Keystone相继曝出类似问题，均指向同一类入口：在线商店、发货商或邮件系统。这些环节成本低、收益高，一次攻击即可获取数千条潜在目标信息，远胜于逐台破解设备。这也反映出企业在安全投入上存在明显割裂——对设备本身有严格标准，对外围运营系统则管理松懈。

住址与号码不可更换，形成永久数字足迹

与密码或信用卡不同，家庭住址和电话号码一旦泄露便无法更改。只要继续使用该设备，这些信息就持续暴露。这种关联性使购买硬件钱包的行为本身成为一种可被追踪的信号，为钓鱼与物理威胁提供了精准筛选依据。

虚构召回骗局：利用信任心理诱导转账

攻击邮件以“设备召回”为名，制造紧迫感并引导用户转移资金。虽然召回确实存在，但绝不会要求用户输入助记词或进行余额转移。此类操作不仅违反基本规则，也极易触发资金损失。时间压力、紧急措辞和虚假权威感是典型特征，应引起高度警惕。

三大敏感信息永不外传，是判断真伪的铁律

Foundation重申：任何正规厂商绝不会索要恢复助记词、PIN码或密码短语。这三项信息属于用户独占，必须通过设备本地输入，绝不应在网页、聊天窗口或支持页面提交。若有人提出此类请求，无论界面多么逼真，皆为诈骗无疑。同时，无需因数据泄露而更改助记词，否则反而引入新风险。

欧盟用户可依法主张权利，但赔偿需具体损失证明

根据GDPR第15条，受影响的德国用户有权要求查看自身数据；第34条则强制公司在高风险情况下通知用户。基金会已履行告知义务。若未收到通知但曾购买产品，可通过申请访问权发起查询。若一个月内无回应，可向所在州监管机构投诉。损害赔偿理论上可行，但须提供实际损失证据，仅数据泄露本身不足以构成诉由。

安全边界仍在设备，外部环境需主动防御

今年的系列事件揭示了一个矛盾现实：设备本身坚不可摧，但围绕它的商业生态极为脆弱。用户应重新评估资产保管策略：是否将全部资产集中于单一设备？助记词是否仅存于一处？存放地点是否具备防火防水能力？对于日常小额移动资金，软件钱包更为合适；长期持有则建议继续使用硬件设备。

同时，高频交易者应考虑合规交易所的托管方案，选择持有MiCA认证牌照的平台，实现安全性与便利性的平衡。