币圈界报道：

四家硬件钱包厂商数据泄露事件深度复盘

2026年10月29日，美国比特币硬件钱包制造商Foundation正式通报，其部分后端系统遭黑客渗透，并利用该权限向客户发送伪装成官方的钓鱼邮件。尽管设备本身未受影响，但用户姓名、邮箱、电话及邮政地址等敏感信息可能已被获取。此次事件为三个月内第四起同类案例，暴露出加密资产交易生态中的薄弱环节。

攻击路径锁定：自托管应用成突破口

最初误判为Cloudflare API密钥泄露，后续澄清显示，攻击者实际是通过一个自托管应用程序中的漏洞进入公司基础设施。此类系统由企业自行运维，更新责任完全在自身，一旦疏漏即构成重大风险。值得注意的是，所有受影响的凭证均已撤销，相关邮件队列被清空，遗留系统也已下线。

信息泄露范围：非客户亦可能中招

据披露，超过23,000次钓鱼尝试中，有超过5,000个收件地址不在公司客户名单内。这意味着攻击者不仅窃取了内部数据，还从外部渠道获取了大量真实联系信息。受影响数据涵盖约5,600个邮编地址和5,200个电话号码，但支付记录与恢复助记词未被存储，制造商强调其始终遵循“不保存助记词”原则。

邮件验证机制失效：合法签名难辨真伪

SPF、DKIM与DMARC三项标准均未能拦截本次攻击，原因在于邮件经由授权渠道（Mailgun与Google Workspace）发出，签名有效且服务器认证无误。这表明，仅凭发件域名真实性无法判断邮件来源是否为内部员工，传统防骗手段在此类场景下形同虚设。

行业共性：外围系统成为主攻目标

此前8月Trezor、SafePal相继出事，10月Keystone亦遭入侵，四起事件皆指向同一模式——攻击者绕开高防护的硬件芯片，转而打击商店软件、物流平台或邮件系统。这些环节成本低、收益高，一次攻击即可获得数千名潜在加密持有者的精准画像。

物理风险虽小，但需警惕双重威胁

家庭住址与设备绑定关系极具价值，使钓鱼邮件更具可信度。攻击者常以“召回”为名诱导用户扫码或输入助记词，制造时间压力迫使其忽略细节。与此同时，极少数情况下也可能引发物理层面的恶意访问，因此建议对资产分布进行再评估。

骗局核心：虚构召回诱导资金转移

邮件内容声称需将余额转入新账户完成设备召回，实则为诱导用户提供恢复助记词。一旦泄露，资产可在数分钟内被远程清空，无需实体设备参与。真正权威机构不会设定紧急时限，此类措辞正是典型欺诈信号。

永不索取：三大关键信息绝不可外泄

Foundation重申，任何正规厂商均不会要求提供恢复助记词、PIN码或密码短语。这些信息必须仅在本地设备上输入，绝不应出现在网页、聊天窗口或支持页面。违反此规则的请求即为伪造，即便发件人域名看似正确也需高度警惕。

欧盟用户权利：可依法申请数据访问与投诉

依据GDPR第15条，受影响者有权要求查看所持有的个人信息；第34条则规定，在高风险泄露情形下，企业须主动通知用户。德国居民若未收到通知，可通过邮件依第15条提出查询，如一个月内未获回应，可向州级数据保护机构提交申诉，主张损害赔偿。

资产保管策略再审视：安全与便利的平衡

尽管四起事件均未影响私钥安全，但交易环境的脆弱性令人警醒。建议用户检查是否将全部资产集中于单一设备，恢复助记词是否仅存一处且具备防火防水条件。对于频繁移动的资金，宜采用软件钱包；长期持有则继续使用硬件设备。同时，选择受监管交易所并确认其具备MiCA许可，是实现合规管理的关键一步。