币圈界报道：

Foundation硬件钱包数据泄露事件深度解析

持有Foundation品牌硬件钱包的用户近期可能收到一封看似官方的邮件：发件人域名正确、署名规范、语气专业。然而，这并非来自制造商的真实通信。2026年10月29日，Foundation在致客户的公开信中承认，其部分后端系统遭到攻击，攻击者利用权限伪造了钓鱼邮件。虽钱包设备本身未被侵入，但用户的姓名、电话及邮政地址等敏感信息极有可能已被泄露。

三个月内第四起同类安全事件

这是近三个月来第四起针对硬件钱包服务商的类似数据泄露事件，且攻击模式高度一致：目标并非设备固件或芯片，而是销售平台、物流合作方或客户通信系统。一旦个人信息流出，便无法撤销或替换。例如，家庭住址作为长期身份标识，一旦暴露即永久可追溯。

根据公司披露的数据，此次事件共涉及超过23,000次钓鱼尝试，其中19,057封通过Mailgun发送，1,503封经由Google Workspace发出——两者均为Foundation用于客户沟通的核心渠道。更值得关注的是，有超过5,000个接收地址并不在官方客户名单中，表明攻击者还从其他非法来源获取了数据。这意味着，收件人未必是真实客户，而客户也未必都收到了该邮件。

目前，受影响凭证已失效，所有待发邮件队列被清除，相关遗留系统已下线并完成证据留存。一份完整事故报告已准备就绪，但截至本文撰写时尚未对外公布。本节内容基于2026年10月29日发布的客户信函。

攻击入口：自托管应用中的安全缺口

最初，基金会将问题归因于Cloudflare API密钥被盗。然而后续说明指出，实际入侵路径是通过一个自托管应用程序中的漏洞实现的。所谓自托管，指软件部署在企业自有服务器上，而非外部云服务，虽然提升了数据控制权，但也意味着企业必须自行负责更新与维护。

这一特性与加密领域“自我保管私钥”的理念相似，但同样带来责任负担：谁运营，谁负责安全。对于最令用户担忧的问题，基金会明确表示：没有迹象显示此次事件影响了Passport设备或其内部私钥。原因在于，硬件钱包的私钥始终存储于独立安全芯片中，不联网、不出厂，与制造商的在线系统完全隔离。

数据泄露发生在交付途中

本次泄露发生于客户信息传输链路中，涵盖商店管理系统、履约流程及运单标签。初步估计受影响数据包括约5,600个邮政地址、5,200个电话号码，以及对应的姓名与邮箱。这些信息源自一个较旧的电商后台系统。基金会特别强调：无法确认攻击者是否访问了全部记录。

这种坦率虽令人不安，却有助于用户采取最谨慎应对策略。值得庆幸的是，支付信息未被窃取，恢复助记词也从未存储于此——任何合规厂商均不会保存此类关键数据。

SPF/DKIM/DMARC为何未能拦截攻击

电子邮件防伪机制在此案中失效，根源在于攻击者使用了合法授权通道。SPF规定哪些服务器可代表域名发信；DKIM为每封邮件添加数字签名；DMARC则定义违规时的处理方式。

由于邮件通过Mailgun和Google Workspace这两个受信任渠道发送，其签名有效且认证通过，因此所有过滤器均判定为“合法”。系统无法判断账户背后操作者是否为员工。这也解释了为何仅检查发件人地址在现实中已不可靠。我们此前分析过类似案例，结论一致：唯一可靠防线是审查邮件内容本身。

三月四家厂商接连遭袭，暴露出系统性风险

Foundation并非孤例。2026年8月，Trezor披露其客户数据因物流商ShipMonk遭入侵而外泄，影响约14,000名用户；同月SafePal亦遭攻击。10月20日，Keystone在线商店被攻陷，三天后官方确认，泄露范围涵盖姓名、联系方式、送货地址与订单详情。不同来源给出的影响人数差异显著，一说25,964名买家，另一说18,835台设备。

四家厂商、四种入口、一个共同特征：攻击点均位于外围系统——商店平台、快递接口、邮件服务、老旧系统。这类攻击成本低、收益高：一次入侵即可获取数千条精准目标数据，而攻击单一设备需付出高昂代价。对攻击者而言，拥有硬件钱包购买记录即等于锁定潜在高价值目标。

这并非免除厂商责任的理由，而是暴露其在非核心业务环节的安全短板。制造安全芯片需要严谨纪律，而运营电商平台同样需要同等标准。当前已有四项证据证明，后者仍有改进空间。

地址与电话：无法撤回的身份印记

你可以一分钟更改密码，银行也能快速冻结卡片并补发新卡。但家庭住址和电话号码无法轻易更换。只要你仍居住于此并使用该设备，这两项信息就将持续存在，并成为一条清晰记录：此人持有加密资产。

正是这种关联性使其区别于普通购物泄露。无人关心你买了运动鞋，但若你购买了专为存储数字资产设计的硬件钱包，则意味着你是主动参与者。由此催生两类攻击路径：一是精心包装的钓鱼邮件，以真实姓名和地址增强可信度，诱导用户扫描二维码；二是物理威胁，尽管罕见，但仍需警惕。

第二种风险虽不普遍，却足以提醒用户重新审视资产管理策略，包括是否应将全部持仓集中于单一设备，或考虑分散保管以降低风险。

骗局套路：虚构的设备召回与资金转移

基金会指出，被滥用的邮件模板声称“设备存在安全隐患，需立即召回并转移资金”。此设计极具迷惑性：召回确实可能发生，且制造商确会联系客户，而安全问题恰是最易引发恐慌的信息类型。

但真正的欺诈隐藏在下一步：召回不涉及资金转移，也不要求输入恢复助记词。然而，攻击者正是借此诱导用户执行这些操作。一旦十二或二十四字助记词被泄露，余额可在几分钟内被远程清空，无需设备参与，全球任意一台电脑皆可操作。

另一个典型特征是时间压迫感。任何宣称“数小时内必须行动”或“紧急风险即将爆发”的措辞，目的都是阻止用户思考。真正权威机构从不设定短暂时限。德国联邦信息安全办公室（BSI）在其反网络钓鱼指南中已列出此类行为的常见特征。

永不索取：恢复助记词、PIN码与密码短语

在信函中，Foundation重申所有其他厂商应遵循的原则：公司绝不会要求用户提供恢复助记词、PIN码或密码短语，也绝不会要求转账。这条规则无需技术知识即可验证，且任何伪造邮件都无法绕开。

恢复助记词是生成所有私钥的基础，掌握它即掌控全部资产；PIN码用于锁定设备防止未经授权访问；密码短语则是从同一助记词衍生出的额外账户。三者均不得在网页、表单、聊天窗口或客服代理处输入。它们只应在设备本地通过物理按键输入，别无他途。

在前三个月四起事件中，只要坚持这一原则，即可完全避免被骗。同时需明确：数据泄露后无需更改助记词。该词从未存储于系统中，更改只会创建新账户并引发不必要的迁移风险与费用。任何因焦虑而匆忙操作的行为，反而会制造原本可以规避的新隐患。

GDPR赋予的权利：德国用户如何维权

对于欧盟境内的受影响者，这不仅是安全问题，更是数据保护议题。《通用数据保护条例》适用于向欧盟消费者销售产品的任何企业，无论其总部设在美国何处。

第15条规定，您有权请求了解基金会所持有的关于您的个人数据。第34条要求，在数据泄露对个人构成高风险时，企业必须主动通知受影响者。2026年10月29日的客户信函已履行此义务。若未收到通知但曾购买产品，可在申请访问数据的同时提出询问。

若公司在一个月内未回应，可向监管机构投诉。在德国，受理部门为所在州的数据保护机构，具体信息可在联邦数据保护专员官网查询。依据第82条，理论上可主张损害赔偿，但须提供可证实的具体损失，仅凭“信息泄露”本身不足以支持索赔。

四家厂商数据泄露：私钥未受损，环境存隐患

今年的事件既令人警觉又令人宽慰。警觉在于，四家硬件钱包提供商在三个月内相继陷入数据外泄，且相关信息无法挽回；宽慰在于，所有案例中私钥与恢复助记词均未受影响。设备依然忠于其核心承诺——保护资产。

真正脆弱的是围绕设备的交易生态。建议每位用户冷静审视自身保管策略：

评估资产是否集中于单一设备，恢复助记词是否仅存于一处，且存放环境是否具备防火防水能力。

理性规划日常资金流动：

小额频繁移动的资金更适合使用软件钱包；长期持有的大额资产则宜保留于硬件设备。

明确自我托管的边界：

高频交易者本就需在持牌机构开户。在德国，具备MiCA许可证的交易所清单可通过官方渠道查询，确保合规操作。