币圈界报道：

硬件钱包数据外泄潮：四起事件揭示供应链薄弱环节

2026年10月29日，美国比特币硬件钱包品牌Passport的制造商Foundation承认，其部分后端系统遭黑客渗透，并被用于向客户发送伪装成官方通知的钓鱼邮件。尽管设备本身未受波及，但用户的姓名、电子邮件、电话号码及邮政地址可能已被泄露，且无法撤销。

邮件投递渠道遭利用，伪造信息合法呈现

此次攻击的核心在于利用了Foundation用于客户沟通的两个主流平台——Mailgun与Google Workspace。据披露，超过23,000次钓鱼尝试中，19,057封通过Mailgun发出，1,503封来自Google Workspace。更令人担忧的是，有超过5,000个收件地址并不在公司的客户数据库中，表明攻击者还获取了外部来源的个人信息。

漏洞入口为自托管应用，非固件或设备本身

最初归因于Cloudflare API密钥泄露的说法被后续说明修正。实际入侵路径指向一个由公司自行运维的自托管应用程序中的安全缺陷。此类系统虽提升控制权，但也意味着企业必须独立承担更新与防护责任。由于该应用仅负责内部流程，未触及设备底层固件，因此对硬件钱包的安全性未构成直接影响。

数据泄露范围聚焦订单信息，支付凭证未受损

受影响的数据主要来自一个较旧的电商系统，涵盖约5,600个邮寄地址和5,200个电话号码，以及对应的姓名与邮箱。公司明确表示，无法确认是否所有记录均被访问。值得注意的是，支付信息与恢复助记词从未存储于该系统，符合行业基本安全规范。

标准邮件验证机制失效，真实域名难辨真伪

SPF、DKIM与DMARC等常规反欺诈机制未能拦截此次攻击，原因在于邮件确实经由合法授权的邮件服务发送，签名有效且来源可信。这意味着即使发件人域名正确，也无法排除账户被劫持的可能性。唯一有效的识别方式转向内容审查——包括语气、紧迫感和行为要求。

三个月内第四起同类事件，攻击模式高度一致

Foundation并非孤立案例。2026年8月，Trezor因物流商ShipMonk被攻陷而泄露近1.4万名客户信息；同年10月，SafePal与Keystone也相继曝出数据泄露。四起事件均绕过设备本体，转而攻击商店系统、发货流程或邮件服务器，目标是获取高价值的持币者名单。

家庭住址不可更改，成为永久身份标签

与密码可重置不同，住址和电话号码一旦泄露便无法收回。这使得持有硬件钱包的行为本身成为一种公开标识——“此人正在使用加密货币”。攻击者借此实施精准钓鱼，如虚构设备召回，诱导用户输入恢复助记词或转移资金。

骗局设计精巧：借召回之名行窃取之实

邮件中声称的“设备召回”流程极具迷惑性，因其符合真实操作逻辑。然而，真正的召回不会要求用户转移余额或输入助记词。攻击者利用时间压力制造恐慌，迫使用户忽略关键风险点。德国联邦信息安全办公室（BSI）指出，此类限时指令正是典型网络钓鱼特征。

三类敏感信息永不可外传，任何请求皆为诈骗

Foundation声明，其绝不会索要恢复助记词、PIN码或密码短语，也不会要求资金转移。这些信息应仅在设备本地通过物理按键输入。任何在线平台、聊天窗口或所谓客服要求提供上述内容，无论界面多么逼真，均为欺诈行为。过去三个月的四起事件中，遵循此规则即可避免损失。

欧盟用户可依法主张知情权与赔偿权

根据《通用数据保护条例》（GDPR），德国境内受影响者有权依据第15条申请查阅所持有的个人数据，并在遭遇高风险时获得通知。10月29日的客户信函已履行告知义务。若未收到通知但曾购买产品，可通过同一渠道发起查询。若一个月内未获回应，可向所在州监管机构投诉，甚至依据第82条提出损害赔偿，但需证明具体损失。

私钥安全未动摇，但交易环境亟待加固

尽管四起事件均未影响私钥或助记词，但暴露的客户数据使整个持有生态面临威胁。建议用户重新审视资产管理策略：检查是否将全部资产集中于单一设备，恢复助记词是否仅存于一处且具备防灾能力。对于高频小额交易，软件钱包更为合适；长期持有则继续依赖硬件设备。同时，评估是否应在受监管交易所开设账户以分散风险。