币圈界报道：

四家硬件钱包数据外泄：核心私钥未受影响，但个人信息已暴露

近期，美国比特币硬件钱包品牌Passport的制造商Foundation承认，其部分后端系统遭入侵，攻击者利用获取的凭证向客户发送伪造邮件。尽管设备本身未受损害，但大量用户的姓名、联系方式及邮政地址可能已被窃取。此次事件是2026年第三季度内第四起同类案件，暴露出供应链中非设备环节的安全短板。

三次冲击后的最新一击：攻击链路高度一致

过去三个月中，已有四家主流硬件钱包厂商遭遇类似攻击，共同特征在于攻击目标并非设备固件或芯片，而是与其销售、物流和通信相关的外部系统。这些系统一旦失守，即可批量获取潜在持有者的敏感信息。其中，有超过5,000个被钓鱼邮件触及的邮箱地址并不在官方客户名单中，表明攻击者还从其他渠道获取了数据，进一步扩大了潜在受害范围。

入侵路径揭示：自托管应用成突破口

最初归因于Cloudflare API密钥泄露的说法，在后续说明中被修正。实际入侵点为一个由公司自行运维的自托管应用程序中的安全缺陷。此类系统虽避免依赖第三方云平台，却也意味着企业必须承担全部更新与防护责任。由于缺乏及时补丁机制，该漏洞成为攻击入口，最终导致邮件发送权限被滥用。

泄露数据范围：订单系统成为关键风险点

受影响的数据主要来自一个较旧的在线商店系统，涵盖约5,600个邮寄地址、5,200个电话号码，以及姓名与电子邮箱。公司明确表示无法确认是否所有记录均被访问。值得注意的是，支付信息、恢复助记词等核心数据未被存储于该系统，符合行业基本安全规范，因此不涉及账户余额直接风险。

邮件验证机制失效：为何防骗屏障形同虚设

SPF、DKIM与DMARC等标准邮件认证协议未能拦截此次攻击，原因在于邮件经由合法授权的投递平台（Mailgun与Google Workspace）发出，签名真实有效。系统仅验证发件域与服务器授权关系，无法识别后台操作者是否为真实员工。这使得“查看发件人”这一常见防御手段彻底失效，唯有内容审查才是可靠防线。

产业链攻击模式显现：从设备转向用户画像

从Trezor、SafePal到Keystone，四起事件均指向同一逻辑：攻击者不再试图破解单台设备，转而瞄准订单数据库。相比一台设备仅能获取一条记录，一个数据库可提供数千条带有身份标签的用户信息。这些信息精准勾勒出“加密货币持有者”画像，成为高价值目标。尽管制造商在设备层面具备严格安全标准，但在运营端仍存在明显薄弱环节。

不可撤回的身份信息：地址即永久标签

与密码或信用卡不同，家庭住址和电话号码一旦泄露便无法更改。只要您继续居住并使用该设备，这些信息就始终有效。这种绑定关系使攻击者能够实施更具针对性的钓鱼行为——例如伪装成召回通知，诱导用户扫描二维码或点击链接，进而窃取恢复助记词。物理盗取虽罕见，但也不应忽视，尤其当设备存放环境缺乏保护时。

骗局设计精巧：虚构召回引诱转移资金

攻击邮件以“设备召回”为名，制造紧迫感，要求用户立即操作转账或更新信息。现实中，召回流程仅涉及寄回设备或换新，并不涉及资金转移或助记词输入。然而，正是这一误导性步骤，旨在迫使用户在未核实的情况下暴露核心信息。时间压力是典型欺诈手法，任何正规机构均不会设定数小时内的强制响应期限。

永不妥协的底线：三类信息绝不可外传

Foundation在信函中重申：任何合法厂商均不会索要恢复助记词、PIN码或密码短语，也不会要求用户将资金转移至指定账户。这三条信息属于绝对私密范畴，仅应在设备本地通过物理按键输入。任何在线请求都应视为高危信号。即便邮件来源看似可信，也需警惕内容陷阱。此外，数据泄露无需更改助记词，否则反而引发新风险。

欧盟用户权利保障：GDPR赋予知情与追责权

根据《通用数据保护条例》第15条，受影响的德国用户有权要求Foundation披露其所持有的个人数据。第34条规定，若数据泄露构成高风险，公司须主动通知用户。10月29日的客户信函已履行此义务。若未收到通知，可通过同一渠道申请数据访问。若一个月内未获回应，可向所在州的数据保护机构投诉，依据第82条亦可提起损害赔偿诉讼，但需证明具体损失。

资产保管反思：从集中到分散的必要升级

今年接连发生的四起事件揭示了一个矛盾现实：设备本身安全可靠，但围绕它的交易生态存在隐患。令人忧虑的是客户数据持续外泄，令人安心的是私钥未被侵犯。建议用户重新评估资产分布策略：检查是否将全部持仓集中在单一设备；恢复助记词是否仅存于一处且环境安全；小额流动资金是否应交由软件钱包管理，长期持有则保留在硬件设备中。对于频繁交易者，选择持有MiCA许可证的受监管交易所更为稳妥。