币圈界报道：

四起硬件钱包数据泄露事件揭示供应链安全短板

2026年10月29日，美国比特币硬件钱包品牌Passport的制造商Foundation正式披露，其部分后端系统遭黑客渗透，并被用于向客户发送伪造的钓鱼邮件。尽管设备本身未受波及，但用户的姓名、电话号码及邮政地址可能已被非法获取，且无法回收或替换。

三个月内第四起同类攻击，攻击路径高度一致

此次事件是继Trezor、SafePal及Keystone之后，第三季发生的第四起针对硬件钱包生态的网络入侵。攻击目标并非设备固件，而是销售平台、物流服务商或客户通信系统。这些环节一旦失守，个人信息即刻暴露于风险之中，且永久有效。

关键漏洞源于自托管应用的安全疏漏

初步归因于Cloudflare API密钥泄露的说法随后被修正。公司澄清，攻击者实则利用了一个运行在自有服务器上的自托管应用程序中的已知漏洞，进入内部基础设施。此类系统虽具备数据自主控制优势，却也意味着企业必须承担全部更新与防护责任。

数据泄露范围：订单系统中的敏感信息外流

受影响的数据涵盖约5,600个邮寄地址和5,200个联系电话，以及姓名与电子邮箱。这些信息来自一个较旧的电商平台后台。公司明确表示，无法确认是否所有记录均被访问，亦未包含支付凭证或恢复助记词——后者本就不应存储于任何客户数据库中。

SPF/DKIM/DMARC为何未能拦截恶意邮件

尽管采用标准邮件认证协议，攻击仍成功绕过。原因在于邮件经由合法渠道（Mailgun与Google Workspace）投递，签名真实且授权合规。认证机制仅验证“是否来自该域”，而非“是否来自合法操作员”。因此，一封看似官方的邮件仍可能是伪装的恶意行为。

从商店到物流：攻击者瞄准的是客户画像

四起事件中，攻击入口各不相同，但共性明显：均指向非核心设备的外围服务。相比破解芯片成本高昂，批量获取购买者的身份信息更具性价比。这些名单直接指向拥有加密资产的高价值目标，成为攻击者最理想的猎物。

地址与电话：无法撤销的数字足迹

与可重置密码不同，家庭住址和电话号码一旦泄露便终身有效。这使得持有硬件钱包这一行为本身成为一种身份标签。攻击者借此实施精准钓鱼，或为后续物理威胁提供依据。即便未收到邮件，也可能因关联信息被滥用而面临风险。

虚构召回骗局：制造紧迫感诱导信息泄露

伪造邮件以“设备召回”为名，要求用户转移资金并输入恢复助记词。此类设计模仿真实流程，利用用户对安全问题的敏感反应。时间压力、紧急措辞等特征均为典型欺诈信号。真正权威机构绝不会设定几小时响应期限。

三类核心信息永不对外索要

Foundation强调，任何正规厂商均不会索取恢复助记词、PIN码或密码短语。这三者属于绝对私有范畴，只能通过设备本地输入。任何在线请求都应被视为高危诈骗。此外，数据泄露无需立即更换助记词——此举反而引入新风险，且无实际必要。

欧盟用户权利：基于GDPR的知情与追责通道

对于德国及其他欧盟地区用户，该事件触发《通用数据保护条例》第15条与第34条。您有权要求企业提供所持有的个人数据，若存在高风险，企业须主动通知。如未获回应，可在一个月内向所在地监管机构投诉，未来亦可依据第82条主张损害赔偿，但需证明具体损失。

核心结论：设备安全可靠，环境风险亟待升级

今年的系列事件既令人警醒又令人宽慰：虽然四家厂商客户数据相继外泄，但所有设备内的私钥与恢复助记词均未受损。真正失效的是围绕设备的交易与通信生态。建议用户重新评估资产分配方式：避免集中保管，合理划分软件钱包与硬件钱包用途，并审慎考虑自我托管的边界。