币圈界报道：

硬件钱包数据外泄潮：四起事件揭示供应链薄弱环节

美国比特币硬件钱包品牌Passport的制造商Foundation于2026年10月29日公开承认，其部分后端系统遭黑客攻陷，并被用于发送伪装成官方通知的钓鱼邮件。尽管设备本身未受波及，但用户的姓名、邮箱、电话及邮政地址等敏感信息可能已被非法获取。

邮件系统成突破口，攻击者借道合法渠道

此次攻击并未针对钱包固件或芯片，而是利用了公司自托管的应用程序漏洞，进而渗透至客户通信系统。攻击者通过伪造合法发件人身份，在Mailgun与Google Workspace两大平台投递超过23,000封钓鱼邮件，其中超5,000个收件地址并非其客户名单成员，表明攻击者还从其他途径获取了数据。

核心风险：无法撤销的个人信息

泄露的数据涵盖约5,600个家庭住址和5,200个电话号码，主要来自一个老旧的电商系统。公司明确表示无法确认是否所有记录均被访问，且这些信息一旦流出便永久存在——尤其是住址与联系方式，不具备可更换性。

为何防伪机制失效？邮件签名真实却内容欺诈

SPF、DKIM与DMARC等标准虽能验证域名合法性，但因邮件经由授权服务（如Mailgun）发出，签章有效，系统无法识别背后操作者为非法。这使得“发件人地址正确”这一常规判断失效，唯一可靠防线转向对邮件内容本身的审慎分析。

三个月内第四起同类事件，攻击路径高度趋同

此非孤立案例。2026年8月至10月间，Trezor、SafePal、Keystone相继遭遇类似攻击，均源于物流商、邮件服务商或遗留系统漏洞。攻击者不直接挑战设备安全，而是锁定交易链中的“人”——购买硬件钱包者，因其行为本身就构成高价值目标。

物理威胁虽低，但账户分散管理更明智

尽管实际设备被窃取的情况罕见，但地址泄露使用户面临定向钓鱼风险。攻击者可通过伪造召回通知诱导用户扫描二维码或输入恢复助记词，从而实现远程清空余额。因此，建议将资金分置于多个设备或不同保管方式中，避免单一故障点。

骗局设计：以“召回”为名诱导转移资金

邮件内容虚构了设备召回流程，要求用户“转移资金”以完成更换，实则意在诱骗用户提供恢复助记词。此类信息常伴随时间压力，如“24小时内完成”，制造紧迫感，干扰理性判断。德国联邦信息安全办公室（BSI）指出，正规机构绝不会设定短期响应时限。

永不索取的核心信息：助记词、PIN码、密码短语

Foundation重申，任何正规厂商均不会索要恢复助记词、PIN码或密码短语，也不会要求用户转账。这三项信息应仅在设备本地输入，绝不通过网络提交。任何在线请求都可视为欺诈信号，即使界面看似官方。

欧盟用户享有的法定权利：数据访问与知情权

根据GDPR第15条，受影响者有权向Foundation申请查阅其持有的个人数据；第34条规定，当数据泄露带来高风险时，企业须主动通知用户。10月29日信函即履行该义务。若未收到通知，可通过同一渠道发起查询。若一个月内无回应，可向所在州监管机构投诉，未来亦可依据第82条主张损害赔偿，但需证明具体损失。

四家厂商无一影响私钥，但生态安全亟待升级

今年连续四起事件虽令人担忧，但值得庆幸的是，所有涉事设备的私钥与恢复助记词均未受损。真正脆弱的是围绕硬件钱包的商业运营环境。建议用户重新评估资产分配策略：小额移动资金宜用软件钱包，长期持有则保留于硬件设备；同时确保助记词存储于防火防水场所，避免集中存放。