币圈界报道：

四起硬件钱包数据泄露事件揭示供应链安全短板

2026年10月29日，美国比特币硬件钱包品牌Passport的制造商Foundation承认，其部分后端系统遭到入侵，攻击者利用漏洞发送伪装成官方通知的钓鱼邮件。尽管设备本身未受波及，但用户的姓名、联系方式及邮寄地址可能已被窃取。

三月内第四起同类攻击，目标直指客户信息链

此次事件是三个月内第四起针对硬件钱包提供商的数据泄露案，模式高度一致：攻击者并未瞄准设备固件或芯片，而是渗透销售平台、发货服务商或通信系统。一旦个人信息被获取，便无法撤销或更换，尤其是家庭住址这类永久性标识。

伪造邮件来源合法，验证机制形同虚设

据披露，共发起逾2.3万次钓鱼尝试，其中1.9万封通过Mailgun、1,503封通过Google Workspace发出，均为Foundation官方使用的邮件通道。更值得关注的是，超5,000个收件地址不在其客户数据库中，表明攻击者还从其他渠道获取了名单，导致非客户也可能收到欺诈信件。

漏洞入口为自托管应用，企业运维责任凸显

最初归因于Cloudflare API密钥泄露，后续确认攻击者通过一个自托管应用程序中的安全缺陷进入系统。该类软件由公司自行维护更新，若未及时修补，将成为致命弱点。值得注意的是，所有设备均未受影响，因其私钥始终存储在离线芯片中，不联网也不可导出。

泄露发生在交付途中，核心数据仍在流转

受影响数据约涵盖5,600个邮政地址、5,200个电话号码，以及姓名与邮箱。这些信息源自一个老旧的电商平台系统。公司坦言无法确认是否全部记录遭访问，且支付信息与恢复助记词从未存放于此，符合行业规范。

SPF/DKIM/DMARC为何失效？真实域名下仍可造假

邮件认证协议如SPF、DKIM和DMARC依赖于发件服务器授权，而本次攻击正是通过合法投递渠道完成。由于邮件经由授权系统发出，签名有效，因此过滤器无法识别其虚假本质。这意味着仅凭发件人域名无法判断真伪，内容审查成为唯一可靠防线。

四家厂商接连中招，攻击逻辑趋于统一

继Trezor、SafePal及Keystone之后，Foundation再次成为目标。每起事件均源于外围系统：商店后台、物流合作方、邮件服务或遗留系统。相较高成本的芯片攻击，数据库窃取可批量获取潜在持币者信息，极具吸引力。

送货地址无法更改，成为不可逆的风险点

与密码不同，家庭住址和电话号码一旦泄露就无法收回。这使得购买硬件钱包的行为本身即构成一种“数字指纹”，向攻击者明确标记出持币者身份。由此衍生出两类攻击路径：精准钓鱼与物理追踪。

虚构召回骗局：诱导转移资金，制造时间压力

诈骗邮件以“设备召回”为名，要求用户转移余额。此类话术模仿真实流程，但关键在于：召回不涉及资金转移或输入助记词。任何设定紧迫期限（如数小时内）的请求均属典型欺诈特征，权威机构不会施加此类压力。

永不索取的核心信息：助记词、PIN码与密码短语

Foundation重申，正规厂商绝不会要求用户提供恢复助记词、PIN码或密码短语。这些敏感信息必须在设备本地输入，绝不应出现在网页表单、聊天窗口或支持页面。任何索要行为皆可直接判定为诈骗。

德国用户可行使法定权利：查询与投诉并行

根据GDPR第15条，受影响用户有权申请查阅所持有的个人数据；第34条规定，在存在高风险时企业须主动通知。10月29日信函已履行告知义务。若未收到通知，可通过同一渠道提出访问请求。一个月无回应可向德国各州数据监管机构申诉，损害赔偿需证明具体损失。

数据泄露频发背后：设备安全与生态治理失衡

虽然四起事件均未影响私钥，但暴露了围绕硬件钱包的交易环境存在严重脆弱性。用户需重新审视资产保管策略：是否集中于单一设备？助记词是否仅存一处？是否具备防火防水防护？

建议合理分配资产：小额高频交易使用软件钱包，长期持有则保留于硬件设备；频繁操作者应选择持牌交易所，确保合规与透明。