币圈界报道：

四家硬件钱包数据外泄：核心安全机制未被突破

2026年10月29日，美国比特币硬件钱包Passport的制造商Foundation正式披露，其部分后端系统遭黑客入侵，并通过合法邮件渠道向用户发送了伪造的钓鱼信函。尽管设备本身未受波及，但用户的姓名、联系方式及邮寄地址等敏感信息可能已被窃取。

三月内第四起同类攻击，模式高度一致

此次事件是继Trezor、SafePal与Keystone之后，三个月内第四起针对硬件钱包生态链的非设备层面攻击。攻击者并未直接渗透钱包固件或芯片，而是瞄准销售平台、物流服务商及客户通信系统等外围环节。由于这些数据无法更换，一旦泄露便构成永久性风险。

攻击入口：自托管应用中的漏洞成为突破口

最初归因于Cloudflare API密钥泄露的说法随后被修正。公司确认，入侵实际源于一个运行在内部服务器上的自托管应用程序中存在的安全缺陷。此类系统虽提供更高控制权，但也意味着企业必须自行承担更新与防护责任。一旦疏漏，即成高危入口。

数据泄露范围：订单系统中流转的信息遭劫持

受影响的数据主要来自一个较旧的电商后台系统，涵盖约5,600个邮政地址、5,200个电话号码以及对应的姓名和邮箱。基金会明确表示，无法确认攻击者是否获取全部记录。支付信息与恢复助记词均未存储于该系统，符合行业基本安全准则。

邮件验证机制失效：合法签名无法阻止欺诈

SPF、DKIM与DMARC等标准邮件认证协议未能拦截此次攻击，原因在于邮件经由官方授权渠道（Mailgun与Google Workspace）发出，签名真实有效。这使得伪造邮件在技术上“合规”，常规筛查手段形同虚设。唯一可靠防线回归至内容识别与行为判断。

攻击者为何选择外围？成本与收益极度失衡

相比破解单个硬件钱包需耗费大量资源，攻击者更倾向通过数据库泄露批量获取潜在目标名单。每一条地址背后都指向一位持有加密资产的用户，具备极高价值。这种策略虽不涉及设备本身，却对用户信任体系造成深层冲击。

家庭地址不可撤销：数字时代的永久身份印记

与可重置的密码不同，住址与电话号码一旦泄露便难以回收。只要持续使用该设备，它们就始终处于公开状态。这使得钓鱼邮件更具说服力——结合真实姓名与地址的信件极易引发误判。此外，物理劫持虽罕见，但仍是值得警惕的潜在威胁。

骗局设计：虚构召回诱导资金转移

攻击邮件以“设备召回”为名，诱导用户点击链接并输入恢复助记词。此类流程模拟真实厂商操作，利用用户对安全事件的信任心理。关键特征包括时间压力、紧急指令及要求输入种子短语——任何正规机构绝不会在短时间内要求此类敏感操作。

绝对禁止：永不向任何人透露恢复助记词

Foundation重申，任何官方渠道均不会索要恢复助记词、PIN码或密码短语。这三类信息属于本地生成、仅限设备使用的机密数据，绝不应在网页、聊天窗口或客服对话中出现。一旦提交，即等于放弃全部资产。过去三个月所有案例均可通过此规则有效规避。

欧盟用户权利：依据GDPR主张知情与追责

根据《通用数据保护条例》，德国境内受影响者有权申请访问其个人数据，并要求企业提供完整记录。若认定存在高风险，企业须主动通知。当前，基金会已履行通知义务。如一个月内未获回应，可向所在州监管机构投诉，未来亦可依据第82条提出赔偿诉求，但需证明具体损失。

核心结论：设备安全尚存，生态链仍脆弱

今年发生的四起事件揭示了一个矛盾现实：硬件钱包自身的加密机制依然坚不可摧，但围绕其交易与交付的外部环境存在明显短板。用户需重新审视资产管理策略——是否过度集中于单一设备？恢复助记词是否仅存放一处？日常资金是否应采用软件钱包进行管理？长期持有者宜坚持冷存储，而高频使用者则应合理搭配受监管交易所账户。