币圈界报道：

四起硬件钱包数据泄露事件揭示供应链安全短板

2026年10月29日，美国比特币硬件钱包品牌Passport的制造商Foundation正式通报，其部分后端系统遭黑客渗透，并被用于向客户发送伪装成官方通知的钓鱼邮件。尽管设备本身未受波及，但用户的姓名、联系方式及家庭住址可能已被获取，且无法更改或撤销。

三月内第四起同类攻击，模式高度一致

此次事件是本季度第四起针对加密硬件钱包服务商的数据泄露，攻击路径如出一辙：目标并非设备固件，而是销售平台、物流履约系统或客户通信渠道。这些环节虽不直接管理私钥，却是高价值个人信息的集中出口。一旦泄露，地址与电话等敏感信息将永久留存于第三方数据库中，无法回收。

邮件系统遭利用，外部来源数据同步曝光

据公司披露，自2026年8月以来，已有超过2.3万次钓鱼邮件尝试，其中近两万封经由Mailgun和Google Workspace系统发出。尤为关键的是，超过5,000个收件地址不在其客户清单中，表明攻击者还从其他渠道获取了名单，意味着非客户也可能成为目标。

漏洞根源：自托管应用中的安全疏漏

最初归因于Cloudflare API密钥泄露的说法在后续澄清中被修正。实际入侵路径为一个运行于企业自有服务器上的自托管应用程序存在缺陷。此类系统虽能减少对外部云服务依赖，但运维责任完全由企业承担，一旦更新滞后，便成为突破口。

数据泄露范围：订单系统成重灾区

受影响的信息涵盖约5,600个邮政地址、5,200个电话号码，以及姓名与邮箱。这些数据来自一个较旧的电商系统，且公司明确表示无法确认攻击者是否完整访问全部记录。值得注意的是，支付凭证与恢复助记词均未存储于此，符合行业规范。

邮件认证机制失效：合法签名难辨真伪

SPF、DKIM与DMARC等标准未能拦截本次攻击，因其邮件确实通过授权渠道（Mailgun与Google Workspace）发送，签名有效，服务器认证通过。这使得仅凭发件人域名判断真实性变得无效，唯一可靠的方法回归到内容审查。

攻击者瞄准“资产持有者”而非“设备本身”

过去三个月内，Trezor、SafePal、Keystone相继发生类似事件，攻击入口分别为物流商、在线商店与遗留系统。共同点在于：攻击成本低、收益高——每笔攻击可获取数千条拥有加密货币资产的用户画像，远优于单台设备的暴力破解。

家庭地址不可更改，构成永久风险敞口

与密码或信用卡不同，居住地和联系电话一旦泄露即长期有效。这种信息与“持有加密资产”的行为绑定，形成极具吸引力的攻击目标。攻击者借此实施精准钓鱼，诱导用户扫描二维码或输入恢复短语，进而转移资金。

虚构召回骗局：制造紧迫感诱导操作

伪造邮件以“设备召回”为名，要求用户转移资金。此类设计极具迷惑性，因召回确有先例，且涉及安全问题时用户反应迅速。但真正的召回流程不会要求用户输入助记词或转账，而正是这一环节成为诈骗核心。

绝对禁止：永不提交恢复助记词、PIN码与密码短语

Foundation强调，任何正规机构绝不会索要恢复助记词、PIN码或密码短语。这些信息必须在设备本地输入，不得出现在任何网页、聊天窗口或支持界面中。若遇此类请求，无论形式多么正式，均为欺诈。

欧盟用户可行使法定权利：申请数据访问与申诉

根据GDPR第15条，受影响的德国用户有权要求企业披露所持有的个人数据；第34条则规定，在高风险情况下企业须主动通知。当前信函已履行告知义务。若未收到通知，可通过同一渠道发起数据访问请求，若一个月内无回应，可向州级监管机构投诉。

核心结论：设备安全未破，生态链仍脆弱

今年发生的四起事件虽令人警觉，但值得庆幸的是，所有硬件钱包的私钥与恢复助记词均未受损。真正受损的是围绕设备构建的交易环境。建议用户重新评估资产保管策略：避免单一设备集中持仓，合理分配小额流动资金至软件钱包，同时确保助记词存储具备物理防护能力。