币圈界报道：

四家硬件钱包遭入侵：客户信息外泄，设备安全仍受保护

2026年10月29日，美国比特币硬件钱包Passport制造商Foundation正式披露，其部分后端系统遭到黑客渗透，并被用于发送伪装成官方通知的钓鱼邮件。尽管用户手中的设备未被攻破，但姓名、联系方式及邮寄地址等敏感信息可能已被泄露。

三月内第四起同类攻击，模式高度一致

此次事件是本年度第四起针对硬件钱包服务商的外部攻击，攻击路径均绕开设备本身，转而侵入销售平台、物流合作方或通信系统。由于个人信息一旦流出便无法撤销，家庭住址这类长期有效数据成为高价值目标。数据显示，此次共有超过2.3万次钓鱼尝试，其中1.9万封经由Mailgun，1,503封来自Google Workspace——均为公司合法使用的邮件服务。

攻击源头指向自托管应用漏洞

初步归因于Cloudflare API密钥泄露的说法在后续说明中被修正。最终确认，攻击者利用了一个运行在公司自有服务器上的自托管应用程序中的安全缺陷进入内部网络。该类系统虽提供更高自主性，但运维责任完全由企业承担，一旦更新滞后即构成风险敞口。

泄露范围聚焦订单流程，核心数据未受损

受影响的数据主要来自一个老旧的电商系统，涵盖约5,600个邮政地址、5,200个电话号码以及相关姓名与邮箱。公司坦承无法确认是否所有记录均遭访问。值得注意的是，支付凭证、恢复助记词从未存储于该系统，符合行业规范。

认证机制失效：为何防骗工具未能拦截

SPF、DKIM与DMARC等标准邮件验证协议在此案中形同虚设，因为攻击邮件实际通过合法授权的服务节点（Mailgun与Google Workspace）发出，签名真实有效。系统仅判断发件域是否合规，无法识别账户背后的操控者身份，导致常规“检查发件人”策略彻底失灵。

外围薄弱环节成攻击首选

从Trezor、SafePal到Keystone，四家厂商相继中招，入口各不相同，但共同点在于均发生在交易链末端——商店后台、发货商接口或邮件队列。相比破解芯片成本高昂且收益有限，批量获取潜在持有者名单更具经济效率。这也揭示了企业在安全治理上的结构性短板。

地址不可更改，风险持续存在

与可重置的密码不同，住址与电话号码一旦暴露便永久留存。这使得购买硬件钱包的行为本身成为一种可被追踪的身份标识。攻击者借此实施精准钓鱼，包括伪造“设备召回”通知，诱导用户扫描二维码并输入恢复短语，从而实现资金转移。

骗局设计：制造紧迫感诱导操作

邮件中常设置数小时倒计时，营造紧急氛围，迫使用户跳过核实步骤。此类话术正是德国联邦信息安全办公室（BSI）列出的典型网络钓鱼特征。真正的召回流程不会要求用户转移资产或输入助记词。

永不索取：恢复助记词、PIN码与密码短语

Foundation明确承诺：任何正规机构绝不会索要恢复助记词、PIN码或密码短语。这些信息必须由用户亲自在设备上输入，绝不应出现在网页、聊天窗口或第三方链接中。只要坚持这一原则，即可有效防范所有仿冒请求。

欧盟用户权利：依据GDPR行使知情权与申诉权

根据《通用数据保护条例》第15条，受影响的德国用户有权申请查阅自身数据。第34条要求公司在高风险泄露情形下主动通知客户，此番信函已履行义务。若未收到通知，可通过同一渠道发起访问请求；若一个月内无回应，可向所在州的数据监管机构投诉，甚至提起损害赔偿诉讼。

核心结论：设备安全无虞，环境风险凸显

尽管四家厂商均未出现私钥泄露，但整个购销生态的脆弱性暴露无遗。建议用户重新审视资产分配策略：避免将全部持仓集中于单一设备，恢复助记词应多重备份并存放于物理保险场所。对于日常小额流动资金，软件钱包更适合作为工具；而长期持有则仍应依赖硬件设备。