币圈界报道：

四起硬件钱包数据外泄事件揭示供应链安全漏洞

2026年10月29日，美国比特币硬件钱包品牌Passport的制造商Foundation正式披露其部分后端系统遭入侵，攻击者利用已获取的凭证向客户发送伪装成官方通知的钓鱼邮件。尽管设备本身未被波及，但用户的姓名、电话号码、邮政地址等敏感信息可能已被泄露。

三月内第四起同类攻击，模式高度一致

此次事件是本年度第四起针对硬件钱包提供商的数据泄露案，且攻击手法如出一辙：目标并非设备固件或芯片，而是销售平台、物流服务商或邮件投递系统。一旦个人信息流出，便无法撤销或替换，尤其家庭住址具有永久性特征。

钓鱼邮件超两万三千次尝试，来源渠道明确

Foundation在致客户信中指出，共发生超过23,000次钓鱼邮件投递行为，其中19,057封经由Mailgun系统发出，1,503封来自Google Workspace——均为公司日常客户沟通所用平台。更值得关注的是，有逾5,000个收件地址并不属于其客户数据库，表明攻击者还从外部渠道获取了名单。

攻击入口为自托管应用，非固件漏洞

最初归因于Cloudflare API密钥泄露的说法随后被修正。公司澄清，攻击者实则通过一个自托管应用程序中的安全缺陷进入内部系统。此类应用虽具备更高的数据自主控制权，但也意味着企业必须自行承担全部更新与维护责任，一旦疏忽即成突破口。

核心数据泄露范围约5,600地址与5,200电话号码

受影响数据主要源自一个老旧的电商系统，涵盖姓名、电子邮箱、电话及邮寄地址。基金会坦言无法确认是否所有记录均已被访问。值得注意的是，支付信息与恢复助记词未被存储于该系统，符合行业规范。

SPF/DKIM/DMARC未能拦截，因邮件合法合规

尽管采用标准反欺诈机制（SPF、DKIM、DMARC），但邮件仍能顺利送达，原因在于其通过授权渠道发送，签名有效且服务器认证通过。这使得传统“检查发件人域名”方法失效，唯有深入分析内容细节才能识别真伪。

四家厂商遭遇同一类攻击，暴露外围薄弱点

过去三个月内，Trezor、SafePal、Keystone及Foundation相继受袭，分别通过物流商、邮件服务、在线商店等环节入侵。每次攻击成本低、收益高，可批量获取持有加密资产用户的精准画像，成为恶意行为者的首选目标。

送货地址无法更换，构成持久风险

与密码或信用卡不同，家庭住址和电话号码一旦泄露便无法更改。而购买硬件钱包这一行为本身就构成了独特标签：它明确指向一位真实持有加密资产的个人。此关联使攻击者得以实施定向钓鱼或物理威胁，前者通过伪造召回通知诱导用户输入助记词。

虚假召回邮件诱导转移资金，制造时间压力

攻击邮件以“设备召回”为名，要求用户将余额转移至指定账户。这类话术极具欺骗性，因其模仿真实流程。但关键在于，真正的召回不涉及资金转移或助记词输入。时间紧迫感是典型欺诈特征，任何正规机构绝不会设定数小时响应期限。

永不索取：恢复助记词、PIN码与密码短语

Foundation重申，任何官方渠道均不会要求用户提供恢复助记词、PIN码或密码短语。这些信息仅存在于设备内部，需通过物理按钮输入，绝不可在网页、聊天窗口或第三方平台提交。若遇此类请求，无论外观多么正规，皆为骗局。

GDPR赋予欧盟用户知情与追责权利

根据《通用数据保护条例》第15条，德国用户有权要求查阅自身数据；第34条规定，若存在高风险，企业须主动通知。本次事件中，公司已履行告知义务。若未收到通知但曾购货，可通过申请访问权进行核实。若一个月内无回应，可向所在地数据监管机构投诉，未来亦可依法主张损害赔偿。

四家厂商均未波及私钥，设备信任依然成立

尽管交易环境遭受侵蚀，但所有涉事厂商均确认私钥与恢复助记词未受影响。硬件钱包的核心安全机制——私钥隔离于离线芯片中——依然有效。真正受损的是围绕设备的商业生态链，而非技术本身。

建议用户冷静评估自身保管策略：检查持仓是否集中于单一设备，恢复助记词是否仅存一处且具备防灾能力；对频繁移动的资金，考虑使用软件钱包；对于高频交易者，应选择持有MiCA许可证的受监管交易所进行操作。