币圈界报道：

四起硬件钱包数据泄露事件揭示供应链脆弱性

2026年10月29日，美国比特币硬件钱包制造商Foundation正式通报其部分后端系统遭入侵，攻击者利用合法凭证发送伪装成官方通知的钓鱼邮件。尽管设备本身未被波及，但超过5,600个邮政地址、5,200个电话号码及姓名、邮箱等信息可能已被窃取。此次事件是三个月内第四起同类事故，暴露出加密资产流通环节中非核心设备系统的致命漏洞。

攻击路径溯源：自托管应用成突破口

最初归因于Cloudflare API密钥泄露的说法，在后续说明中被修正。实际入侵点为一个运行在公司自有服务器上的自托管应用程序，该系统因未及时更新而存在可被利用的漏洞。这种部署方式虽提升了数据自主权，却也意味着企业必须承担全部安全维护责任，一旦疏忽即成高危入口。

数据泄露范围：非客户也可能成为目标

调查显示，超过5,000封钓鱼邮件送达的地址并不在Foundation客户名单中，表明攻击者还从其他渠道获取了联系信息。这意味着即使未购买产品的人也可能收到诈骗邮件，而真正客户未必都收到。公司已撤销所有相关凭证，下线受影响系统，并着手准备事故调查报告，目前尚未对外公开详细内容。

邮件验证机制失效：签名合规却仍为伪造

SPF、DKIM和DMARC等标准邮件认证协议未能拦截此次攻击，原因在于邮件通过合法渠道（Mailgun与Google Workspace）发出，且签名真实有效。这些机制仅能确认发件人是否来自授权服务器，无法判断背后操作者是否为内部员工。因此，仅凭域名真实性已不足以识别欺诈行为，内容审查成为唯一可靠防线。

外围攻击模式统一：聚焦订单数据库而非设备

在同期发生的三起事件中——Trezor、SafePal与Keystone——攻击者均未直接针对设备固件或芯片，而是瞄准商店系统、物流商或邮件平台。这类攻击成本低、收益高：一次入侵即可获取数千条含加密资产持有者身份的记录。相比之下，破解单台设备的私钥难度极高且回报有限，故此成为攻击者的首选目标。

家庭住址不可更改：最持久的身份标识

与密码或信用卡不同，住址和电话号码一旦泄露便无法撤回。只要居住地不变，这些信息将持续暴露于风险之中。更关键的是，购买硬件钱包这一行为本身已构成明确信号：该用户持有加密资产并具备自我托管能力，使其成为精准攻击对象。攻击者由此衍生出两类手段：一是高仿邮件诱导扫码转账，二是潜在的物理投递威胁。

虚构召回骗局：制造紧迫感诱导操作

此次钓鱼邮件以“设备召回”为名，要求用户转移资金至指定账户。该设计极具迷惑性，因为真实召回确实会发生，且涉及安全问题时用户通常会迅速响应。然而，正规召回流程绝不涉及资金转移或助记词输入。攻击者刻意设置时间压力，如“24小时内完成”或“立即行动避免损失”，旨在压制用户理性判断，符合德国联邦信息安全办公室（BSI）列出的典型网络钓鱼特征。

三大核心信息永不索取：助记词、PIN码与密码短语

Foundation在信函中明确承诺：任何官方渠道绝不会要求提供恢复助记词、PIN码或密码短语。这三条信息属于绝对私有范畴，仅能在设备本地通过物理按键输入。任何在线请求，无论界面多么逼真，皆为诈骗。即便在前三起事件中，仅凭此一条规则即可有效防范绝大多数欺诈行为。

欧盟用户权利保障：依据GDPR主张知情权与追责权

根据《通用数据保护条例》（GDPR），受影响的德国用户有权向Foundation申请查阅其持有的个人数据（第15条）。同时，若认定数据泄露造成实质性风险，企业须主动通知。10月29日的客户信函已履行此项义务。若未获回应，可在一个月内向所在州的数据保护机构投诉。虽然单纯数据泄露不构成赔偿基础，但若能证明具体经济损失，仍可依法提出损害赔偿诉求。

核心结论：设备安全无虞，生态链亟待加固

本季度四起事件共同指向一个事实：硬件钱包自身的技术防护体系依然稳固，私钥从未被触及。真正受损的是围绕设备构建的商业与通信环境。建议用户重新评估资产分布策略：避免将全部余额集中于单一设备；恢复助记词应妥善保存于防火防水空间；小额频繁交易可考虑使用受监管软件钱包；长期持有时则继续依赖硬件设备进行自我托管。