币圈界报道：

四家硬件钱包厂商接连遭袭，核心数据外流但私钥安然无恙

美国比特币硬件钱包制造商Foundation于2026年10月29日向客户披露，其部分后端系统遭到黑客渗透，并被用于发送伪造的钓鱼邮件。尽管设备本身未受波及，但用户的姓名、联系方式及邮寄地址等敏感信息可能已被泄露。

攻击路径非设备本身，而是供应链薄弱环节

此次事件并非针对钱包固件或芯片层面，而是通过一个自托管应用程序中的漏洞进入内部系统。该应用虽由公司自主运维，却因未能及时更新而成为突破口。此类系统虽能增强数据控制力，但也意味着企业必须承担全部安全责任。

超过两万次钓鱼尝试，来源指向官方通信渠道

据公司通报，共发起超过23,000次钓鱼邮件攻击，其中19,057封经由Mailgun、1,503封经由Google Workspace发出——均为其正常客户服务通道。更值得关注的是，有超过5,000个收件地址并不在官方客户名单中，表明攻击者获取了外部数据源。

数据泄露发生在交付途中，范围涉及多类个人信息

受影响的数据包括约5,600个邮政地址、5,200个电话号码以及姓名和邮箱。这些信息源自一个较旧的电商平台系统，且公司明确表示无法确认所有记录是否均被访问。值得注意的是，支付信息与恢复助记词未被存储，符合行业最佳实践。

邮件认证机制失效：签名合法却非真实发件人

SPF、DKIM与DMARC等标准验证机制未能拦截此次攻击，因为邮件通过了授权服务（如Mailgun）发出，签名有效且域名匹配。这说明仅凭发件人地址无法判断真实性，内容审查成为唯一可靠防线。

三个月内第四起同类事件，模式高度一致

此前Trezor、SafePal与Keystone均遭遇类似攻击，攻击点均位于外围系统：物流商、邮件平台或遗留系统。这类攻击成本低、收益高，可批量获取持有加密资产者的详细信息，远比单台设备攻击更具价值。

家庭住址不可撤销，构成永久性风险敞口

与密码不同，住址和电话号码无法更改。一旦泄露，便永久关联到你持有加密资产的事实。这种身份绑定使攻击者得以实施精准钓鱼，甚至推动物理层面的威胁行为。

骗局设计模仿真实召回流程，诱导转移资金

攻击邮件伪装成设备召回通知，要求用户“转移余额”至指定账户。然而，真正的召回不会要求输入助记词或转账。此类操作常伴随时间压力，如“48小时内处理”，旨在制造焦虑，阻碍理性判断。

三类关键信息绝不会被正规机构索取

Foundation重申，任何正规厂商均不会索要恢复助记词、PIN码或密码短语。这些信息应仅在设备本地输入，绝不应在网页、聊天窗口或第三方平台提交。违反此原则即为欺诈无疑。

德国用户可行使数据访问与知情权

根据GDPR第15条，受影响者有权要求获取所持有的个人数据；第34条则规定，在高风险情况下必须主动通知。基金会已履行告知义务，若未收到通知，可通过正式请求查询。若一个月内无回应，可向所在州数据保护机构投诉。

四家厂商集体遇袭，暴露出交易生态的安全短板

虽然所有事件中私钥均未受损，但围绕硬件钱包的整个商业链条存在明显脆弱性。用户应重新评估资产保管策略：是否集中于单一设备？恢复助记词是否妥善保存？小额资金是否适合使用软件钱包？长期持有者应考虑分散托管方式。