币圈界报道：

四家硬件钱包厂商数据外泄事件全景剖析

2026年10月29日，美国比特币硬件钱包品牌Passport的制造商Foundation正式披露其后端系统遭黑客渗透，攻击者利用自托管应用漏洞获取权限，并向客户发送伪造的钓鱼邮件。尽管设备本身未受波及，但用户的姓名、电话、邮政地址等敏感信息已被非法获取，且无法更改或撤销。

三月内第四起同类攻击，模式高度一致

此次事件是本年度第四起针对加密硬件钱包提供商的外部攻击，其路径如出一辙：攻击目标并非设备固件或芯片，而是供应链中的非核心环节——邮件服务系统、物流履行平台与旧版订单管理后台。此类攻击成本低、覆盖广，一旦成功即可获得大量具备高价值特征的用户画像数据。

攻击入口溯源：自托管系统成安全短板

初步调查曾指向被攻陷的Cloudflare API密钥，但后续确认真实突破口为公司内部运行的自托管应用程序。该类系统虽提升数据控制权，却也意味着企业必须自行承担全部更新与维护责任。一旦疏漏，便可能成为整个生态链的薄弱节点。

信息泄露范围：订单流程中的关键节点

泄露数据主要来自一个老旧的电商平台系统，涉及约5,600个有效邮寄地址、5,200个联系电话，以及对应姓名与电子邮箱。值得注意的是，基金会明确表示无法确认所有记录是否均被读取，暗示攻击者可能仅部分访问了数据库。

三大邮件认证机制为何失效

SPF、DKIM与DMARC作为防止域名伪造的核心协议，在此事件中未能发挥作用。原因在于攻击者使用了合法授权的邮件服务（Mailgun与Google Workspace）进行投递，使得邮件签名真实有效。因此，即便发件人看似可信，也无法通过常规技术手段识别其非官方身份。

多厂商接连中招，暴露出系统性风险

从Trezor到SafePal，再到Keystone与Foundation，四家厂商在三个月内相继曝出类似问题。攻击点各不相同，但共性明显：皆围绕销售、配送与通信系统展开。相较直接破解设备芯片的高难度，窃取客户名单更具性价比，成为恶意行为者的首选目标。

家庭住址不可更改，构成永久性风险

与可重置的密码不同，住址与电话号码一旦泄露便难以收回。尤其当这些信息与持有加密货币的行为绑定时，更易引发针对性网络钓鱼甚至物理追踪。这种关联性使得普通电商泄露与加密钱包泄露形成本质区别。

伪造召回通知诱导资金转移

攻击邮件以“设备召回”为名，制造紧急感并引导用户点击链接或扫描二维码。其设计极具迷惑性：召回确有先例，而要求转移资金则完全违背正常流程。真正安全的操作应为寄回设备或申请更换，而非输入助记词或转移资产。

三类核心信息绝不会被官方索取

Foundation重申，任何正规机构均不会索要恢复助记词、PIN码或密码短语。这些信息属于本地存储范畴，必须通过设备按钮手动输入，绝不应出现在网页表单、聊天窗口或支持页面中。凡提出此类请求者，无论伪装多么逼真，均为欺诈行为。

欧盟用户依法享有的数据权利

依据GDPR第15条，受影响的德国用户有权要求企业提供所持有的个人数据；第34条则规定企业在高风险泄露情形下须主动通知。目前，Foundation已履行告知义务，未收到通知者可通过书面申请行使访问权。若一个月内无回应，可向所在州的数据监管机构投诉，未来亦可基于实际损失提起赔偿诉讼。

设备安全未受损，环境风险亟待重视

尽管四起事件中均无私钥或助记词泄露，但交易生态的脆弱性暴露无遗。建议用户重新审视资产保管策略：避免将全部持仓集中于单一设备，恢复助记词应分处多地并做好防火防水防护，小额频繁交易可考虑使用合规软件钱包，长期持有则继续依托硬件设备。