币圈界报道：

四起硬件钱包数据泄露事件揭示供应链安全短板

2026年10月29日，美国比特币硬件钱包品牌Passport的制造商Foundation正式通报，其部分后端系统遭入侵，攻击者利用合法凭证发送大量伪装成官方通知的钓鱼邮件。尽管用户持有的设备本身未被破坏，但姓名、联系方式、邮政地址及电话号码等敏感信息可能已被非法获取。

三月内第四起同类攻击，目标直指客户身份链

此次事件是本季度第四起针对加密硬件钱包提供商的数据泄露案，攻击模式高度一致：非直接攻陷设备或固件，而是渗透销售平台、物流服务商或邮件投递系统。此类攻击成本极低却收益巨大——每条记录都对应一个真实持有加密资产的个体，成为精准诈骗的黄金名单。

入侵路径锁定：自托管应用中的漏洞成突破口

最初归因于Cloudflare API密钥泄露的说法在后续声明中被修正。公司确认，攻击者实际是通过一个运行在自身服务器上的自托管应用程序中的未修复漏洞进入内部网络。该类系统虽能增强数据控制力，但一旦维护不及时，便成为安全薄弱点。由于责任全由企业自行承担，更新延迟将带来不可逆风险。

数据泄露范围：订单系统遗留数据遭批量提取

受影响的信息涵盖约5,600个邮寄地址、5,200个电话号码，以及姓名与电子邮箱。这些数据源自一个较老的电商平台系统。更令人担忧的是，公司明确表示无法确认是否所有记录均被访问。支付信息与恢复助记词均未存储于该系统，符合行业规范，但地址关联性仍构成重大威胁。

邮件验证机制失效：合法签名掩盖恶意行为

SPF、DKIM和DMARC三项标准未能拦截本次攻击，原因在于邮件经由授权渠道（Mailgun与Google Workspace）发出，签名真实有效。系统仅验证发件域权限，无法识别账户背后的操控者。因此，即使来源域名正确，也无法排除伪造可能性，依赖“看发件人”已不再可靠。

攻击者为何瞄准外围系统而非设备本身

相较于破解芯片或固件的高门槛，攻击订单数据库只需一次成功入侵即可获得数千条有效客户数据。这使得外部接口成为首选目标。四家厂商分别通过物流商、邮件服务、旧版商城系统被突破，暴露出企业在运营生态安全管理上的普遍短板。

家庭地址无法更换，是永久性风险敞口

与密码可重置不同，住址和电话号码一旦泄露即长期有效。只要仍在使用该设备，它们就始终暴露在潜在风险之中。这种绑定关系使购买者成为攻击者的优先目标，催生出两类典型攻击路径：一是带有真实姓名与地址的钓鱼信件诱导扫码转账；二是极少数情况下触发物理接触风险。

骗局设计：虚构召回流程诱导资金转移

攻击邮件以“设备召回”为名，制造紧急感并引导用户点击链接或输入恢复助记词。虽然召回确有发生，但绝不会要求用户转移资产或输入种子短语。此类时间压力话术正是欺诈核心，旨在压制用户理性判断。德国联邦信息安全办公室（BSI）已将此类特征列入常见网络钓鱼识别清单。

绝对禁止事项：永不向任何方透露恢复助记词

Foundation强调，任何正规机构均不会索要恢复助记词、PIN码或密码短语。这些信息应仅在设备本地通过物理按键输入，绝不应在网页表单、聊天窗口或支持代理处提供。过去三个月的所有案例中，只要坚持此原则，即可完全避免受骗。

欧盟用户权利保障：依据GDPR行使知情权与申诉权

对于身处欧盟的受影响者，根据《通用数据保护条例》第15条，有权要求企业披露其持有的个人数据；第34条规定，在高风险泄露情形下必须主动通知。基金会已于10月29日履行告知义务。若未收到通知但曾购买产品，可通过同一渠道申请数据访问。若一个月内无回应，可向所在州监管机构投诉，未来亦可依法主张损害赔偿，但需证明具体损失。

核心结论：设备安全无虞，但生态防护亟待加强

今年发生的四起事件共同传递一个关键信号：硬件钱包本身的设计依然坚不可摧，私钥未被触碰，恢复助记词也未外泄。真正脆弱的是围绕设备的交易环境——在线商店、物流系统与通信渠道。面对无法更改的身份信息，用户必须重新评估资产保管策略：分散持有、合理配置软件与硬件钱包比例，并确保备份环境具备抗灾能力。