币圈界报道：

四家硬件钱包数据泄露事件揭示供应链安全短板

2026年10月29日，美国比特币硬件钱包Passport的制造商Foundation正式通报客户，其部分后端系统遭攻击者渗透，并利用合法通信渠道发送了伪装成官方通知的钓鱼邮件。尽管钱包设备本身未被攻破，但用户的姓名、电话号码及邮政地址可能已被窃取，且无法撤销。

攻击路径聚焦外部服务而非设备本体

此次事件并非针对硬件钱包固件或芯片，而是通过一个自托管应用中的漏洞实现渗透。该应用运行于公司自有服务器，需企业自行维护更新，一旦出现疏漏便成为突破口。攻击者借此获取访问权限，进而操控邮件投递系统，向客户发送伪造信函。

信息泄露范围涉及多个非核心系统

受影响的数据源自一个较旧的在线商店系统，涵盖约5,600个邮编地址和5,200个电话号码，以及对应的姓名与邮箱。公司明确表示，无法确认所有记录是否均被读取。值得注意的是，支付信息与恢复助记词从未存储于该系统中，符合行业标准。

邮件认证机制失效：签名合规却仍为欺诈

尽管采用了SPF、DKIM与DMARC等标准反欺诈协议，攻击邮件仍成功通过检测。原因在于，邮件经由合法授权的Mailgun与Google Workspace平台发出，签名真实有效。系统仅验证发件人域名与服务器权限，无法识别账户背后是否为恶意操作者。

三个月内第四起同类攻击，目标高度一致

这已是2026年第三季度第四起硬件钱包相关数据泄露事件。此前Trezor、SafePal与Keystone相继中招，攻击入口分别为物流商ShipMonk、第三方服务接口及在线商店后台。共同点在于：攻击者优先选择低门槛、高回报的外围环节，以获取大量潜在持币者名单。

物理风险虽小，但应重新评估资产保管策略

家庭住址作为永久性个人信息，一旦泄露便无法更改。攻击者可据此实施精准钓鱼或物理追踪。虽然实际盗取设备案例罕见，但此类信息已构成显著威胁。建议用户审视自身资产分布，考虑将资金分置于不同工具中，避免集中存放。

虚假召回诱导转移资金：典型诈骗话术拆解

邮件内容虚构“设备召回”流程，要求用户点击链接并转移余额。此类话术模仿真实操作流程，制造紧迫感，如设定数小时倒计时。然而，正规厂商从不要求用户转移资金或输入恢复助记词。任何涉及此类请求的行为均为欺诈。

三类敏感信息绝对不可对外提供

恢复助记词、PIN码及密码短语属于个人唯一控制凭证，绝不能在网页、聊天窗口或支持页面中提交。即使对方显示为官方邮箱，也必须保持警惕。这些信息仅应在设备本地通过物理按键输入，任何远程请求都意味着身份被盗。

德国用户可依法行使数据权利

根据GDPR第15条，受影响者有权申请查阅所持有的个人数据；第34条则要求企业在高风险情况下主动通知。Foundation已履行通知义务。若未收到通知但曾购买产品，可通过同一渠道提出访问请求。若一个月内无回应，可向所在州监管机构投诉，主张损害赔偿。

核心结论：设备安全可靠，生态链仍存隐患

尽管四起事件均未波及私钥或恢复助记词，但交易环境的安全性受到严重挑战。用户应强化自我管理意识：检查资产是否过度集中，恢复助记词是否妥善保管，小额资金是否适合使用软件钱包进行日常操作。同时，定期审查受监管交易所资质，确保长期持有与频繁交易之间有合理分工。