币圈界报道：

四起硬件钱包数据泄露事件揭示外围防护漏洞

2026年10月29日，美国比特币硬件钱包Passport的制造商Foundation正式通报客户，其部分后端系统遭黑客渗透，并利用合法通信渠道发送伪造钓鱼邮件。尽管设备本身未被攻破，但用户的姓名、电话号码及邮政地址等敏感信息可能已被泄露，且无法回收。

攻击路径聚焦非设备端：从邮件到物流链

此次事件并非孤立案例，而是三个月内第四起类似攻击。攻击者并未瞄准钱包固件或芯片，而是针对销售平台、发货服务商以及客户沟通系统等外围环节。这些环节虽不直接存储私钥，却积累了大量高价值目标数据——即拥有加密货币资产的个人真实身份信息。

超过五千个非客户邮箱遭波及，数据来源存疑

据公司披露，本次钓鱼攻击共触发逾2.3万次尝试，其中1.9万封通过Mailgun、1503封通过Google Workspace发出，均为官方认证投递渠道。更值得关注的是，超5000个收件地址不在其客户名单中，表明攻击者还获取了其他外部数据源，进一步扩大了潜在受害范围。

漏洞根源：自托管应用中的安全疏漏

最初归因于Cloudflare API密钥泄露的说法在后续说明中被修正。实际入侵点为一个运行在企业自有服务器上的自托管应用程序，该系统因需自行维护更新而存在安全隐患。这种“自己运营，自己负责”的模式虽然符合去中心化理念，但也带来了更高的运维风险。

关键保障未被动摇：私钥仍受物理隔离保护

Foundation明确表示，无任何证据显示攻击影响了Passport设备内部的私钥或恢复助记词。其核心设计原则依然有效：私钥永久驻留于独立芯片中，不联网、不导出，即便在线系统被攻陷，也无法提取账户控制权。

泄露范围涉及订单全链路，数据真实性存疑

受影响数据涵盖约5600个邮寄地址、5200个电话号码及对应姓名与邮箱，均来自一个较旧的电商系统。公司坦承无法确认是否所有记录均被访问，这一透明态度虽令人不安，却也为用户提供了合理防范依据。

三大邮件验证机制为何失效？

SPF、DKIM与DMARC等标准邮件验证协议未能拦截此次攻击，原因在于邮件确实由授权服务（Mailgun和Google Workspace）发出，签名合法且权限合规。这使得伪造发件人检测机制形同虚设，唯一有效的防御手段转向内容审查。

三月四案并行：攻击者锁定“高价值目标池”

除Foundation外，Trezor、SafePal及Keystone亦在同一时期遭受不同程度的数据泄露。攻击入口分别为物流商ShipMonk、商店系统及在线店铺后台。共同特征是：攻击成本低、覆盖范围广，且精准定位持有加密资产的用户群体。

家庭住址不可更改，成为永久暴露的数字足迹

与密码或信用卡可更换不同，住址和电话号码一旦泄露便无法收回。只要持续使用设备，这些信息就始终有效，构成攻击者精准打击的基础。这也催生出两类主要攻击方式：高仿邮件诱导扫码，以及极少见的物理窃取风险。

虚构召回骗局：利用信任流程实施欺诈

攻击邮件以“设备召回”为名，制造紧迫感，诱导用户转移资金或输入恢复助记词。此类操作看似合理，实则违背正规流程——召回仅涉及设备替换，绝不会要求用户转移余额或提供种子短语。

永不索取的三类信息：识别诈骗的铁律

Foundation重申，任何合法厂商都不会索要恢复助记词、PIN码或密码短语。这三者属于设备专属，必须通过物理按钮输入，绝不应出现在网页、聊天窗口或支持对话中。违反此规则即为明显欺诈信号。

欧盟用户权利：依GDPR可主张知情与申诉权

根据《通用数据保护条例》第15条，德国用户有权申请获取自身数据详情；第34条要求企业在高风险泄露时主动通知。当前信函已履行义务。若未收到通知，可通过同一渠道提出访问请求，并在一个月内未回应时向所在州监管机构投诉。

核心启示：设备安全≠生态安全

尽管四起事件中均无私钥受损，但交易环境的安全性受到严重挑战。建议用户重新评估资产配置策略：避免将全部持仓集中于单一设备，恢复助记词应多地点备份并确保防灾能力；小额频繁交易者宜采用受监管交易所工具，长期持有则保留硬件钱包。