币圈界报道：

Passport制造商承认邮件系统遭入侵致客户信息外泄

美国比特币硬件钱包品牌Foundation于2026年10月29日向用户发布通告，确认其部分后端通信系统遭到未经授权访问。攻击者利用漏洞伪装成官方信件，向用户发送包含虚假召回通知的钓鱼邮件。尽管设备内部安全机制未被突破，但大量客户的姓名、电话号码及邮政地址已被泄露。

三月内第四起同类攻击，目标直指客户联络链路

此次事件是继Trezor、SafePal及Keystone之后，三个月内第四起针对加密硬件钱包生态系统的数据泄露。攻击路径高度一致：非直接攻破设备，而是渗透销售平台、物流服务商或邮件投递系统。此类入侵成本低、覆盖广，且所获数据具备极高价值——明确标识出持有加密资产的个人。

攻击入口锁定在自托管应用中的安全短板

初步调查显示，攻击源于一个运行在公司自有服务器上的自托管应用程序。该系统虽符合企业自主管理逻辑，但因更新责任全由自身承担，成为潜在风险点。后续确认，攻击者正是通过此应用的未修补漏洞进入内部网络，进而操控邮件服务。

信息泄露范围：旧系统中5,600个地址与5,200个号码外流

受影响的数据涵盖约5,600个家庭住址、5,200个电话号码，以及对应的姓名和电子邮箱。这些信息来自一套较陈旧的电商平台后台。公司坦承无法确认所有记录是否均已被读取，因此建议用户以最坏情况应对。支付凭证与恢复助记词未被存储于该系统，符合行业基本规范。

SPF/DKIM/DMARC为何未能拦截真实域名邮件

由于邮件经由合法授权渠道（Mailgun与Google Workspace）发出，其发件人身份验证通过了SPF、DKIM与DMARC三项检测。系统仅判断是否来自授权服务器，而无法识别账户背后是否为恶意行为者。这意味着，即使邮件内容虚假，只要签名有效，仍可绕过常规过滤机制。

四家厂商同频受袭，暴露供应链安全薄弱环节

从Trezor到Keystone，四家主流硬件钱包制造商相继沦陷，皆因外围系统被攻陷。攻击者选择低成本高回报路径：获取海量用户信息，而非破解单个设备。这反映出制造端与运营端的安全能力存在断层——前者强调密钥隔离，后者却面临复杂系统维护压力。

家庭住址无法更改，构成永久性隐私暴露

与密码或银行卡不同，住址与联系电话一旦泄露便无法收回。若持续使用同一设备，即意味着长期暴露于针对性攻击之下。攻击者借此实施更可信的钓鱼诱导，如虚构设备召回并要求转移资金，利用用户对安全流程的信任完成欺诈。

骗局核心：伪造召回指令引导输入恢复助记词

邮件中声称需“立即转移余额”以完成设备更换，实则诱导用户输入恢复助记词。此类操作一旦完成，账户将被远程清空。攻击者刻意设置时间紧迫感，干扰理性判断。值得注意的是，正规机构绝不会在数小时内强制执行此类操作。

永远不要透露的三类信息：助记词、PIN码与密码短语

Foundation明确声明，任何官方渠道均不会索要恢复助记词、PIN码或额外密码短语。这些信息必须仅在设备本地输入，且永不通过网络传输。任何要求提供此类内容的请求，无论来源多么逼真，均为诈骗。更改助记词不仅无效，反而会引入新风险。

德国用户依据GDPR可行使数据访问与知情权

根据《通用数据保护条例》，受影响的欧盟居民有权向Foundation申请查阅其持有的个人信息。该公司已履行告知义务，但若未收到通知，可通过第15条发起查询。若一个月内无回应，可向所在州数据保护机构投诉。虽然单纯泄露不足以构成赔偿，但实际损失可依法追偿。

四起事件共性揭示：设备安全 ≠ 生态安全

尽管四次事件均未波及私钥或恢复短语，但整体信任链已受损。真正需要警惕的，是围绕设备构建的交易环境脆弱性。建议用户重新评估保管策略：避免集中存放全部资产，合理分配软件钱包与硬件钱包用途，并确保助记词存放在物理隔离、防灾环境中。