币圈界报道：

Passport制造商承认客户信息外泄，攻击路径曝光

美国比特币硬件钱包品牌Passport的制造商Foundation在2026年10月29日向用户通报，其部分后端系统遭黑客渗透，并被用于发送伪装成官方通知的钓鱼邮件。尽管实体设备未受波及，但用户的姓名、电话号码及邮政地址等敏感信息可能已被非法获取。

三个月内第四起同类事件，攻击模式高度一致

此次事件是继Trezor、SafePal与Keystone之后，年内第四起针对硬件钱包服务商的供应链攻击。攻击者并未直接突破设备固件或芯片，而是瞄准了订单管理、物流配送及客户通信系统等外围环节。由于这些系统的数据无法更改，一旦泄露即构成永久性风险。

入侵起点：自托管应用中的未修复漏洞

初步调查显示，攻击者利用了一个运行于公司自有服务器上的自托管应用程序中存在的安全缺陷进入内部网络。该类系统虽具备更高的控制权，但也意味着企业必须自行承担更新与维护责任。这一弱点使得原本应为安全屏障的自主架构反而成为突破口。

数据泄露范围：旧系统中约5600个地址和5200个电话外流

受影响的数据主要来自一个较陈旧的电商平台后台，涵盖姓名、电子邮箱、电话及邮寄地址。尽管公司声称已下线相关系统并清除残留队列，但并未能确认所有记录是否均被访问。值得注意的是，超过五千封钓鱼邮件发往非客户名单中的邮箱，表明攻击者还获取了外部数据源。

SPF/DKIM/DMARC为何未能拦截伪造邮件

尽管采用了标准电子邮件认证协议，但因邮件经由合法渠道如Mailgun与Google Workspace发出，且签名有效，故所有过滤机制均判定其为可信来源。这意味着仅凭域名真实性已不足以识别欺诈行为，内容审查成为唯一可靠防线。

从快递商到邮件系统：攻击者专挑“低门槛高回报”目标

四起事件的共同特征在于攻击入口均为非核心设备层面——包括物流合作方、邮件服务接口与遗留数据库。相比破解单台设备需耗费高昂成本，批量获取用户地址可快速定位潜在高价值目标，形成极具吸引力的攻击策略。

家庭住址不可变更，成为最持久的风险资产

与密码或信用卡不同，居住地与联系电话无法轻易更换。只要持续使用同一设备，这些信息便始终处于公开状态。这也使购买硬件钱包的行为本身成为一种身份标识，极易被用于精准社交工程攻击。

虚构召回骗局：诱导转移资金并索取助记词

邮件中宣称启动“设备召回”，要求用户点击链接完成资金转移。此类设计模仿真实流程，制造紧迫感以压制用户质疑。然而，正规厂商绝不会要求用户输入恢复助记词或进行账户迁移，任何此类请求皆属诈骗。

三类核心信息永不外传：助记词、PIN码与密码短语

Foundation明确声明，任何合法机构均不会索要恢复助记词、设备解锁码或额外密码短语。这三者必须由用户亲自在设备本地输入，严禁通过网页、聊天窗口或支持页面提交。若遇此类请求，无论外观多么正式，均应视为伪造。

德国用户可行使数据访问与通知权

根据欧盟《通用数据保护条例》（GDPR），受影响的德国用户有权申请查阅自身数据，并在未获及时回应时向所在州的数据保护机构投诉。虽然单纯的数据泄露尚不足以支持赔偿诉求，但法律框架提供了明确救济路径。

四家厂商集体受袭，私钥未损但生态链脆弱

尽管当前所有案例中均未发现私钥或助记词被窃取，但围绕硬件钱包的交易环境正面临严峻考验。建议用户重新评估资产配置策略：避免将全部余额集中于单一设备，合理分配至软件钱包与合规交易所，以降低整体风险。