币圈界报道：

四起硬件钱包数据泄露事件揭示供应链脆弱性

2026年10月29日，美国比特币硬件钱包Passport制造商Foundation正式披露，其部分后端系统遭入侵，攻击者利用合法凭证发送大量伪装成官方通知的钓鱼邮件。尽管设备本身未受波及，但用户姓名、联系方式及邮寄地址可能已被窃取。

三月内第四起同类事件，模式高度一致

此次事件是三个月内第四起针对硬件钱包提供商的数据泄露，且攻击路径如出一辙：目标并非设备固件或芯片，而是销售平台、发货商或邮件投递系统。由于这些信息无法更换，尤其是家庭住址与电话号码，其风险具有长期性与不可逆性。

攻击入口源于自托管应用漏洞

最初归因于Cloudflare API密钥泄露，后续调查确认攻击者通过一个自托管应用程序中的安全缺陷渗透至内部基础设施。该类系统虽由企业自行维护，但一旦更新滞后，便成为攻击跳板。值得注意的是，所有被攻击系统均非核心钱包组件。

泄露范围集中于订单履行环节

受影响数据涵盖约5,600个邮政地址、5,200个电话号码，以及姓名与电子邮箱。这些信息来自一个较旧的商店管理系统，公司承认无法确认是否全部记录均被访问。支付信息与恢复助记词未存储于此，符合行业标准。

SPF/DKIM/DMARC为何未能拦截伪造邮件

邮件验证机制失效原因在于：攻击者使用了合法授权的邮件服务（Mailgun与Google Workspace），使发件人域名签名真实有效。因此，即使内容异常，系统仍判定为可信来源。这表明仅依赖发件人地址验证已不足以防范此类攻击。

四家厂商共现弱点：外围系统成主要靶点

除Foundation外，Trezor、SafePal与Keystone也在同期发生类似事件。攻击入口分别为物流服务商、在线商店后台与遗留系统。相比攻破加密芯片成本高昂，窃取批量客户数据更具性价比，也更易实现规模化攻击。

地址与电话：永远无法撤销的敏感信息

与密码可重置不同，家庭住址和电话号码一旦泄露，将长期暴露在风险之中。尤其当这些信息关联到持有加密资产的用户时，形成极具价值的攻击名单。攻击者借此实施精准钓鱼或物理威胁，进一步扩大危害。

虚构召回骗局：诱导转移资金与输入助记词

钓鱼邮件以“设备召回”为名，要求用户转移余额并输入恢复助记词。此类说法模仿真实流程，制造紧迫感，实则旨在诱骗用户暴露关键信息。真正的召回不会涉及资金转移或助记词输入。

永不请求的信息：助记词、PIN码与密码短语

所有正规厂商均承诺不索取恢复助记词、PIN码或密码短语。任何要求提供上述信息的请求，无论形式如何，皆为欺诈行为。即便邮件外观真实，也应坚决拒绝。更改助记词反而会引入新风险，不应作为应对泄露的措施。

德国用户享有的数据权利：第15条与第34条保障

根据《通用数据保护条例》，受影响的德国用户有权向Foundation申请查阅其所持有的个人数据，并可在未收到通知的情况下主动发起请求。若企业未在一个月内回应，可向所在州监管机构投诉。损害赔偿虽可主张，但需证明具体损失，单纯数据泄露不足以成立。

核心结论：设备安全无虞，生态链仍存隐患

尽管四起事件中均无私钥或助记词受损，但围绕设备的交易环境存在明显短板。建议用户重新评估资产保管策略：避免单一设备集中持有，合理分配资金至软件钱包用于日常交易，同时确保恢复助记词存放在防火防水的独立环境中。