币圈界报道：

Passport 钓鱼邮件事件溯源：云服务商密钥遭窃为导火索

生产 Passport 硬件钱包的 Foundation 公司证实，近期从其官方域名发出的钓鱼邮件，可追溯至一个被入侵的 Cloudflare API 密钥。该公司强调，虽然部分客户记录存在于攻击者可访问的系统中，但截至目前，并无任何证据显示 Passport 设备或其所持有的私钥遭到破坏。

攻击路径披露：API 密钥失效引发邮件系统失守

Foundation 在 X 平台发布声明，首次公开事件细节。其指出，用户接收到的伪装成官方通知的垃圾邮件，实为利用受损的 Cloudflare API 凭证所发送。发现问题后，公司立即撤销全部现有密钥，并清除相关恶意域名，阻断进一步传播。

值得注意的是，就在数日前，Foundation 曾在社交媒体上警示公众，电子邮件账户是数字安全中最易被忽视的薄弱点。公司建议用户采用高强度且唯一的密码，为关键账户设置独立邮箱，并优先启用硬件支持的通行密钥或双重验证机制以增强防护。

攻击规模评估：逾两万三千次钓鱼尝试被拦截

最新报告显示，Foundation 的邮件系统共检测到超过 23,000 次钓鱼尝试。其中约 19,000 封通过 Mailgun 发送，另有 1,500 多条来自 Google Workspace。部分收件人遭遇重复投递，其余则在送达前被安全机制拦截。

调查发现，旧版 WooCommerce 数据库中仍存有未脱敏的客户订单记录，包括退款信息、弃购购物车及联系表单内容。该问题源于数据库迁移过程中，新旧数据表同步不一致，导致敏感信息残留在历史副本中。

特别地，有 5,000 个接收钓鱼邮件的地址并未出现在 Foundation 的 WooCommerce 或后续迁移至 Shopify 的系统记录中。为确保安全，公司决定对所有系统密钥进行轮换，涵盖所有可能受波及的凭证。同时，一份离线保存的旧版 WooCommerce 数据将用于调查，待完成后将彻底销毁。

公司重申：“目前未发现任何迹象表明此次事件影响了 Passport 硬件设备或其私钥的安全性。”

行业风险频发：多家钱包厂商接连遭遇数据外泄

近几个月来，加密领域多家硬件钱包提供商相继曝出安全漏洞。今年 8 月，Trezor 供应商 ShipMonk 声称，超 67,000 名用户的姓名、城市和邮箱等信息遭窃取。同年 10 月，链上分析揭示，从东南亚授权经销商 CryptoBilis 购买 Ledger 钱包的用户中，可能涉及价值 8,000 万美元的资产被盗，部分设备甚至被植入恶意组件。

就在 Foundation 公布事件前一天，另一主流品牌 Keystone Wallet 也通报一起安全事件。该公司表示，10 月 20 日，其官网被未经授权人员访问，物流信息如收货地址与购买商品详情被提取。然而，公司明确指出，用户钱包密码、私钥以及银行账户和支付卡信息均未暴露。