币圈界报道：

Passport钱包关联后端密钥泄露，用户面临定向钓鱼威胁

硬件钱包制造商 Foundation 公布，其与 Cloudflare 平台连接的 API 密钥被非法获取，造成部分用户通信渠道被滥用。该事件使攻击者得以通过合法邮箱通道向 Passport 用户发送伪装成官方通知的恶意邮件。

漏洞根源为第三方基础设施权限外泄

经调查确认，此次安全事件并非源于 Passport 硬件本身或私钥存储机制的缺陷，而是由于用于管理客户沟通系统的后台接口凭证暴露所致。攻击者利用此权限发起精准钓鱼攻势，目标直指已知用户群体。

当前风险集中于信息泄露而非资产损失

Foundation 明确表示，用户的资金账户及设备离线签名功能未受侵扰，未发生资产被盗或私钥泄露情况。目前主要威胁在于用户可能因误信伪造邮件而披露身份信息或执行非授权操作。

企业需强化对第三方技术栈的监控与响应机制

此类事件凸显加密项目在依赖外部服务时的脆弱性。即使核心产品采用物理隔离设计，若后端系统权限管理不严，仍可能成为攻击入口。尤其当关键接口密钥被长期暴露，极易被重复利用进行跨项目渗透。

市场影响

尽管未造成直接财务损失，但该事件对 Foundation 的品牌信誉构成显著挑战。用户对冷钱包“绝对安全”的预期一旦动摇，将影响其长期用户留存与市场口碑。后续事故报告的透明度将成为重建信任的关键节点。

常见问题解答

Passport开发商遭遇了何种安全事件？

Foundation 发现其用于自动化用户通知的 Cloudflare API 密钥被非法获取，攻击者借此冒充官方身份发送钓鱼邮件。

用户资产是否处于危险之中？

截至目前，无证据表明用户资金或私钥遭到泄露。本次漏洞仅涉及用于发送通信的后端访问权限，不影响硬件钱包本身的离线操作逻辑。

用户应采取哪些防范措施？

建议所有 Passport 持有者提高警惕，对任何提及账户异常、设备更新或验证请求的邮件保持怀疑态度，切勿点击其中链接，并通过官网或认证渠道核实信息真实性。

何时可获完整事件说明？

Foundation 表示将在内部审计结束后公布全面调查结果，但尚未设定具体发布时间表。用户可关注其官方公告以获取最新进展。