币圈界报道：

四家硬件钱包数据外泄事件揭示供应链安全短板

2026年10月29日，美国比特币硬件钱包品牌Passport的制造商Foundation正式通报，其部分后端系统遭黑客渗透，并被用于向客户发送伪装成官方通知的钓鱼邮件。尽管钱包设备本身未受波及，但用户的姓名、电话号码及邮政地址可能已被窃取。

三月内第四起同类攻击，模式高度一致

此次事件是本年度第四起针对硬件钱包提供商的数据泄露案，攻击路径如出一辙：目标并非设备固件或芯片，而是销售平台、发货商或客户通信系统。一旦个人信息流出，便无法撤销或替换，尤其是家庭住址这类长期有效信息。

超过两万次钓鱼尝试，外部名单来源成疑

Foundation披露，共发生逾2.3万次钓鱼邮件投递，其中1.9万封经由Mailgun系统发出，1500余封通过Google Workspace渠道。值得注意的是，超5000个收件地址不在其客户数据库中，表明攻击者还获取了第三方数据源。

入口源于自托管应用漏洞，非云服务失守

最初归因于Cloudflare API密钥泄露的说法随后被修正。实际入侵点为公司自托管的应用程序，该类系统由企业自行维护更新，一旦疏于补丁管理，极易成为突破口。相较之下，依赖第三方云服务的系统通常具备更完善的自动防护机制。

泄露范围限于交易流程节点，核心资产未受损

受影响数据涵盖约5600个邮寄地址、5200个电话号码以及姓名与邮箱，均来自一个较旧的电商平台系统。公司坦承无法确认所有记录是否均被访问，但明确指出支付信息与恢复助记词未存于该系统。

标准邮件验证机制失效，伪造信件合法通行

SPF、DKIM与DMARC等常规反欺诈机制未能拦截本次攻击，原因在于邮件通过合法授权的服务（Mailgun与Google Workspace）发出，签名真实且服务器认证有效。因此，即便发件人看似可信，也无法排除人为操控的可能性。

连续四起事件揭示行业共性风险点

从Trezor到Keystone，再到SafePal与Foundation，四家公司分别因物流商、邮件服务商、遗留系统或在线商店被攻陷而受害。共同特征是：攻击者优先选择成本低、覆盖广的外围环节，而非高难度的芯片级攻击。

地址与号码无法更换，构成持久性威胁

与可重置密码或换卡不同，住址和电话号码一旦泄露，将持续暴露在攻击者视野中。这种关联性使购买硬件钱包的行为本身成为一种身份标签，引发双重风险——既可用于精准钓鱼，也可作为物理攻击的目标线索。

虚构召回骗局利用信任机制诱导转账

攻击邮件以“设备召回”为名，要求用户转移资金并提供恢复助记词。此类设计极具欺骗性，因其模仿真实流程：厂商确实会发起召回，且涉及安全问题的信息容易获得用户响应。然而，正规召回绝不会要求用户输入助记词或进行资金转移。

三大敏感信息永不通过网络索取

Foundation强调，任何正规机构均不会索要恢复助记词、PIN码或密码短语。这些信息必须在设备本地输入，且仅能由用户本人操作。若任何在线界面提出此类请求，无论外观多么正式，皆为诈骗无疑。此外，无需因数据泄露而更改助记词，此举反而带来迁移风险。

欧盟用户可依GDPR主张知情权与追责权

依据《通用数据保护条例》，德国境内受影响者有权申请查阅自身数据内容（第15条），并可在高风险情况下要求通知（第34条）。如未获回应，可向所在州数据监管机构投诉，未来亦可基于实际损失提起赔偿诉讼，但需证明具体损害。

设备安全无虞，但生态链亟待加固

尽管四起事件均未波及私钥或助记词，但暴露了围绕硬件钱包构建的商业环境存在严重脆弱性。建议用户重新评估资产分布策略：避免将全部持仓集中于单一设备；小额移动资金宜使用软件钱包；频繁交易者应考虑持牌交易所账户。