币圈界报道：

四家硬件钱包厂商接连遭袭，客户信息面临不可逆风险

2026年10月29日，美国比特币硬件钱包品牌Passport的制造商Foundation正式通报，其部分后端系统遭到入侵，攻击者利用非法权限向客户发送了伪装成官方的钓鱼邮件。尽管实体设备未被攻破，但用户的姓名、联系方式及家庭住址等关键信息可能已被泄露，且无法撤销。

三月内第四起同类攻击，模式高度一致

此次事件是继Trezor、SafePal与Keystone之后，三个月内第四起针对硬件钱包提供商的数据泄露。攻击目标并非设备本身，而是订单处理流程中的外部服务——包括物流商、邮件平台与旧版商店系统。一旦个人信息流出，便永久存在，无法更改或回收。

超过五千条地址非客户名单，攻击者另获数据源

Foundation披露，共发起超过23,000次钓鱼尝试，其中19,057封通过Mailgun、1,503封通过Google Workspace发出。值得注意的是，有超过5,000个收件地址不在其客户数据库中，表明攻击者还获取了其他渠道的公开数据，因此收到邮件者未必为真实客户。

漏洞根源：自托管应用的安全疏漏

最初归因于Cloudflare API密钥泄露，后续确认攻击者实则通过一个自托管应用程序中的安全缺陷进入系统。该类应用虽提升控制权，但要求企业自行维护更新，一旦疏忽即成突破口。公司已撤销所有凭证，清除待发队列，并下线受影响系统。

数据泄露发生在交付途中，范围约5600个地址

泄露数据来自一个老旧的在线商店系统，涵盖约5,600个邮政地址、5,200个电话号码以及姓名与邮箱。公司坦承无法确认是否所有记录均被访问。支付信息与恢复助记词未受波及，因合规厂商从不存储此类敏感内容。

标准邮件验证机制失效，因签名合法有效

SPF、DKIM与DMARC等反欺诈协议未能拦截攻击邮件，因其通过正规投递渠道（Mailgun与Google Workspace）发送，具备完整认证签名。系统仅验证“是否来自正确域名”，而非“是否由员工操作”。因此，发件人身份看似真实，实际却为恶意操控。

四家厂商同遭袭击，皆因外围系统薄弱

过去三个月内，四家主流硬件钱包提供商相继发生数据泄露，入口分别为物流商、邮件服务商与遗留系统。攻击者选择低门槛路径，以获取大规模潜在目标名单——拥有硬件钱包的人，往往持有真实加密资产，极具价值。

家庭住址无法更换，成为永久数字足迹

与可重置密码不同，地址和电话一旦泄露，便无法收回。只要仍居住于此并使用设备，这些信息将持续暴露。这种关联性使攻击者能精准筛选目标，实施定向钓鱼或物理威胁。

虚构召回骗局：诱导转移资金与输入助记词

邮件内容声称“设备需召回”，并引导用户点击链接或转移余额。真实召回不会要求用户输入恢复助记词或转账。此类设计利用公众对安全更新的信任，配合时间压力制造恐慌，迫使用户在未核实前行动。

三大核心信息绝不会被官方索取

Foundation明确承诺：永不索要恢复助记词、PIN码或密码短语，也绝不会要求转移资金。任何要求提供上述信息的行为，无论形式如何，均为诈骗。这些信息必须在设备本地输入，绝不应出现在网页、聊天窗口或支持界面。

德国用户依据GDPR享有知情与追责权

根据《通用数据保护条例》，受影响的欧盟居民有权申请访问其所持个人数据。若认定风险较高，公司须主动通知。10月29日信函已履行此义务。若一个月内无回应，可向所在州监管机构投诉，未来或可主张赔偿，但需证明具体损失。

四起事件共同结论：设备安全，生态脆弱

尽管四起事件中私钥与助记词均未受损，但围绕硬件钱包的交易环境已多次失守。这提醒用户：资产安全不仅依赖设备本身，更取决于整个供应链的防护水平。建议重新评估保管策略，分散持有、合理配置工具，避免单一风险集中。