币圈界报道：

四起硬件钱包数据泄露事件揭示供应链安全短板

近期，美国比特币硬件钱包制造商Foundation确认其部分后端系统遭入侵，攻击者利用合法渠道发送伪造钓鱼邮件，伪装成官方通知。尽管设备本身未被攻破，但客户姓名、电话号码及邮政地址等敏感信息可能已被窃取，影响范围约达5,600个地址和5,200个电话号码。

三月内第四起同类事件：攻击目标始终在链外

此次事件是2026年第三季度内第四起针对硬件钱包提供商的数据泄露，模式高度一致——攻击者并未瞄准设备固件或芯片，而是锁定销售平台、物流服务商或客户通信系统。这些环节虽不直接管理私钥，却承载着高价值的用户画像数据，成为黑客首选入口。

漏洞根源：自托管应用中的更新延迟

初步归因于Cloudflare API密钥泄露，后续披露显示攻击者实际通过一个自托管应用程序的未修复漏洞进入系统。该类应用虽提升控制权，但也意味着企业必须自行承担所有安全维护责任。一旦疏忽，便可能造成全面性数据外泄。

数据泄露发生在交付途中：从订单到运单

泄露源为一个较旧的在线商店系统，涉及客户姓名、邮箱、电话及邮寄地址。公司坦言无法确认是否全部记录均被访问，且其中超过5,000个收件人不在其客户名单中，暗示攻击者已从其他渠道获取了大量个人信息。

邮件验证机制失效：为何SPF/DKIM无法拦截

尽管采用了SPF、DKIM和DMARC等标准反欺诈协议，但由于邮件经由授权的Mailgun和Google Workspace通道发出，签名合法且来源可信，因此过滤系统未能识别异常。这表明，仅依赖发件域验证已不足以防范高级别社会工程攻击。

四家厂商共现风险：外围系统成主要突破口

从Trezor、SafePal到Keystone，四家厂商均在三个月内遭遇类似攻击，分别源于物流商、邮件服务与遗留系统。攻击者选择低门槛、高回报路径：一次性获取数千条持币者信息，远胜于逐台破解设备。

家庭地址无法撤回：唯一永久暴露的身份标签

与密码可重置不同，住址和电话号码一旦泄露即永久有效。这种信息与加密资产持有行为绑定，使用户成为精准打击目标。攻击者借此实施钓鱼诱导或物理威胁，构成双重风险。

骗局设计：虚构召回诱导资金转移

诈骗邮件以“设备召回”为名，要求用户点击链接并转移资金。此类话术模仿真实流程，制造紧迫感，诱导用户在未核实情况下输入恢复助记词。然而，真正的召回不会要求转账或提供种子短语。

三大核心信息永不索取：助记词、PIN码与密码短语

所有正规厂商均承诺绝不索取恢复助记词、PIN码或密码短语。任何要求输入这些信息的请求，无论形式多么正式，均为欺诈。这些关键信息应始终由用户本人通过设备按键输入，严禁在线提交。

欧盟用户权利：依据GDPR主张知情与追责

对于德国及其他欧盟地区用户，可依据GDPR第15条申请查阅自身数据，若未获回应，可在一个月内向所在州数据保护机构投诉。虽然仅凭数据泄露本身难以索赔，但如能证明具体损失，法律追偿仍具可行性。

安全现状：设备无恙，生态堪忧

尽管四起事件中均无私钥或恢复助记词被窃，但围绕设备的交易环境已显脆弱。建议用户重新评估资产配置策略：避免单一设备集中存储，合理分配小额流动资金至软件钱包，并确保备份存放于防火防水环境中。