币圈界报道：

Foundation硬件钱包数据泄露：攻击者借邮件系统渗透客户信息

2026年10月29日，美国比特币硬件钱包制造商Foundation承认其部分后端系统遭黑客入侵，攻击者利用该权限向客户发送伪装成官方的钓鱼邮件。尽管设备本身未被破坏，但用户的姓名、电子邮箱、电话号码及邮寄地址可能已被获取，且这些信息一旦泄露便不可逆。

三月内第四起同类事件：攻击目标始终是外围系统

此次事件是三个月内第四起针对硬件钱包提供商的数据泄露案，模式高度一致——攻击并非针对设备固件，而是瞄准销售平台、物流服务商或客户通信系统。一旦攻陷，个人信息将永久暴露于风险之中，家庭住址更无法更换。

邮件投递渠道被滥用：合法签名掩盖非法行为

据披露，超过2.3万封钓鱼邮件通过Mailgun与Google Workspace两个官方通信渠道发出。其中，有逾五千个收件地址不在公司客户名单中，表明攻击者还从其他来源获取了数据。由于邮件经由授权服务发送，所有加密验证（SPF、DKIM、DMARC）均显示为有效，导致常规过滤机制失效。

入侵起点：自托管应用中的安全疏漏

最初归因于Cloudflare API密钥泄露的说法随后被修正。实际路径为：攻击者利用一个运行在企业自有服务器上的自托管应用程序中的漏洞进入系统。这类部署虽提升控制权，但也意味着企业必须自行承担全部更新与维护责任，稍有疏忽即成突破口。

泄露范围：订单系统中的敏感信息外流

受影响数据涵盖约5,600个邮政地址、5,200个电话号码以及对应姓名与邮箱。这些信息来自一个老旧的电商后台系统。公司坦承无法确认是否所有记录都被访问，也强调支付信息与恢复助记词从未存储于此，符合行业规范。

为何防护机制未能拦截？技术信任链被绕过

尽管电子邮件认证协议（SPF、DKIM、DMARC）健全，但由于发件服务器确属合法授权，系统无法识别背后操作者为恶意。这意味着仅凭域名真实性无法判断邮件真伪，唯有深入分析内容细节才能辨别欺诈。

四家厂商接连受袭：攻击者偏好低门槛高回报目标

从Trezor到Keystone，四家品牌相继遭遇类似攻击，入口各不相同，但共性明显：皆为非核心环节——商店软件、快递合作方、遗留系统。相比破解芯片成本高昂且收益有限，批量获取客户地址更具吸引力，因其直接指向真实持有加密资产的用户群体。

地址无法撤回：身份与持仓的永久绑定

与普通购物泄露不同，购买硬件钱包这一行为本身就构成了一种可被追踪的身份标识。攻击者借此实施精准钓鱼或物理威胁。前者通过带真实姓名与地址的邮件增强可信度；后者则基于“拥有设备”这一事实进行定向攻击，迫使用户重新评估保管策略。

骗局设计：虚构召回诱导转移资金

邮件以“设备召回”为名，要求用户点击链接并转移资金。此手法模仿真实流程，制造紧迫感，诱导用户在未核实情况下输入恢复助记词。而实际上，召回不涉及资金转移，更不会要求提供种子短语，任何此类请求均为诈骗信号。

永远不要提供的三类信息：助记词、PIN码与密码短语

Foundation重申：任何正规机构绝不会索要恢复助记词、PIN码或额外密码短语。这三者仅能在设备本地输入，且绝不应出现在网页表单、聊天窗口或支持对话中。只要遵守此规则，即可避免绝大多数网络钓鱼陷阱。

欧盟用户权利：依据GDPR行使知情与追责权

根据《通用数据保护条例》，德国境内受影响者有权向Foundation申请查阅其持有的个人数据（第15条），并在认为存在高风险时要求通知（第34条）。若公司一个月内未回应，可向所在州数据监管机构投诉，并依第82条主张损害赔偿，但需证明具体损失。

核心结论：设备安全无虞，生态链仍存隐患

今年发生的四起事件揭示了一个关键现实：硬件钱包本身依然坚不可摧，私钥未被波及；真正脆弱的是围绕它们的交易环境。建议用户审视自身保管方式：分散资产、使用软件钱包处理日常小额流动、确保助记词离线保存且具备防灾能力，并优先选择持有MiCA许可证的合规交易所。