基础护照：23,000封钓鱼邮件来自钱包制造商自己的系统

Foundation硬件钱包数据泄露事件深度解析

如果您拥有Foundation品牌的硬件钱包，近期可能收到过一封看似来自制造商的邮件：发件人域名正确、署名正确、问候语也显得十分专业。但这封邮件并非出自官方之手。美国比特币硬件钱包Passport的制造商Foundation在2026年10月29日致客户的一封信中承认，攻击者已侵入其部分后端基础设施，并利用该权限发送了钓鱼邮件。根据制造商的说法，您抽屉里的设备并未受到影响，但您的地址和电话号码很可能已经泄露。

四起同类事件中的最新一起

这是三个月内发生的第四起此类事件，且模式如出一辙：攻击目标并非钱包本身，而是销售它的商店、负责发货的提供商或向客户发送邮件的系统。一旦泄露，个人信息无法收回或更换。家庭住址永远是你的家庭住址。

Foundation在信中引用了23,000次钓鱼尝试以及两种投递渠道的数据。在其社区论坛发布的2026年10月29日致客户信中，该公司指出共有超过23,000次钓鱼邮件尝试。其中，19,057封通过电子邮件服务Mailgun发出，1,503封通过Google Workspace发出。这两者均为Foundation用于客户沟通的系统。

在这一细分数据中，有一个数字值得特别关注：超过5,000个收到钓鱼邮件的地址根本不在制造商的客户记录中。Foundation对此直言不讳。这意味着攻击者除了客户名单外，还从其他来源获取了地址。因此，收到此类邮件的人不一定是客户，而是客户也不一定收到了邮件。

据公司称，他们已撤销受影响的凭证和所有密钥，删除队列中等待发送的钓鱼消息，将受影响的遗留系统下线并保存证据。一份详细的事故报告已宣布发布，但在本文完成时尚未公开。本节信息基于Foundation于2026年10月29日发出的客户信函。

入侵入口：自托管应用而非固件

Foundation最初将邮件浪潮归因于Cloudflare被攻陷的API密钥。API密钥是一段字符，程序使用它登录服务而无需人工输入密码；拥有它即意味着以合法运营商的身份向服务发起请求。而在10月29日的后续说明中，情况更加明确：据公司称，攻击者是通过一个自托管应用程序中的漏洞进入部分后端基础设施的。

“自托管”意味着软件运行在公司服务器上，而非提供商的云环境中，企业必须自行保持其更新。这对于希望与第三方共享少量数据的公司来说很受欢迎，这也遵循了许多加密用户自己保管私钥的逻辑。然而，两者的缺点也是一样的：谁自己运营，谁就必须自己跟进安全更新。

对于最令持有者担忧的问题，制造商的声明毫不含糊。Foundation表示，没有证据表明此次事件影响了Passport设备或存储在其上的私钥。这与设备的设计相符：硬件钱包将私钥保存在芯片中，该芯片从不释放私钥，且没有网络连接供外部登录。保护你比特币余额的技术机制与制造商的在线商店毫无关系。

泄露范围：通往客户的途中

泄露发生在通往客户的途中：涉及商店软件、履行流程和运单标签。Foundation估计受影响的数据范围约为5,600个邮政地址和约5,200个电话号码，以及姓名和电子邮件地址。这些数据来自一个较旧的商店系统。公司补充了一个比此类信函中常见措辞更为坦诚的警告：它不能确定攻击者是否访问了所有这些记录。

这种坦诚对受影响者来说既令人不安又有益。令人不安是因为你得不到确定性；有益是因为你可以假设最坏的情况，而不必认为自己过于谨慎。根据制造商的说法，支付数据不包括在内，恢复助记词（recovery phrases）也从未存储在那里，因为任何信誉良好的制造商都不会看到它们。

为何SPF、DKIM和DMARC未能拦截

电子邮件程序依赖的方法来检测伪造的发件人在此案中保持沉默，原因很简单。SPF（发件人策略框架）记录指定哪些服务器可以为域名发送电子邮件；DKIM（域密钥识别邮件）为每封电子邮件提供来自发件服务器的加密签名；DMARC指定如果前两者不匹配，收件人应如何处理。

所有这些检查都询问电子邮件是否真的来自属于该域的系统。这正是这里发生的情况。邮件通过了Mailgun和Google Workspace——制造商的常规投递渠道，因此签名正确且授权正确。没有任何过滤器能从一封签名干净的电子邮件中判断出发件账户背后的人不是员工。

在实践中，这意味着在这种情况下，检查发件人地址这一常见经验法则完全失效。我们已经在另一起事件中剖析了这个问题，当时钓鱼邮件确实来自真实的发件人域名。在那种情况下，唯一有效的方法仍然是检查电子邮件的内容。

三个月内的第四家硬件钱包提供商

Foundation的案例并非孤例，这才是真正的发现。2026年8月，Trezor报告了一起数据泄露事件，据当时公司数据，影响了近14,000名客户；攻击者通过负责包裹发货的物流提供商ShipMonk入侵。同月，提供商SafePal也遭到打击。2026年10月20日，有人获得了Keystone在线商店的访问权限；制造商在三天后确认了这一事件，并指出了泄露的姓名、联系方式、送货地址和订单详情。关于影响范围的数字存在差异，正如我们在2026年10月25日关于Keystone确认数据泄露的报道中所阐述的那样：一个账户提及25,964名受影响买家，另一个则提及18,835台设备。

四家提供商，四个不同的入口点，一个共同的分母。每次都是外围被攻击：商店软件、快递合作伙伴、邮件系统、遗留系统。这是一种可以理解的目标选择。硬件钱包中的芯片攻击成本高，每次攻击只能获得一台设备。而订单数据库攻击成本低，却能获得一万条地址，这些地址明确显示这些人拥有加密货币资产并亲自持有。对于寻找受害者的攻击者来说，这是最有价值的列表。

这并没有让制造商免责，但使他们处于尴尬的境地。制造保护私钥的设备需要一种纪律，而经营带有履行服务和新闻通讯的在线商店则需要另一种纪律。提到的提供商显然具备第一种纪律。在第二种方面，现在有四项证据表明仍有工作要做。

送货地址是无法撤回的数据

你可以在一分钟内更改密码。银行冻结信用卡并寄送新卡。但对于家庭地址和电话号码，这种逻辑行不通。只要你还住在那里并使用该设备，两者就始终有效，而且它们现在都位于一条明确记录的档案中：这个人购买了硬件钱包。

正是这种联系将其与普通商店泄露区分开来。没人关心某人买了跑鞋。但某人购买了唯一目的是存储加密货币资产的设备，这是一种攻击者无法单独做出的预先筛选。由此衍生出两条攻击路线，这两条路线在实践中都已经发生。一是通过信件进行钓鱼：带有正确姓名和地址的邮件看起来比电子邮件更可信，任何人扫描邮件中的二维码时很少会检查其去向。二是物理访问，在行业内以其威胁的工具命名。

第二种风险很少见，也不是恐慌的理由。然而，它是冷静审查自己保管方式的理由。这包括询问你的持仓是否应该全部放在单个设备上，或者拆分它们是否更有意义。

骗局细节：虚构的设备召回

据公司称，通过Foundation系统发送的电子邮件利用了所谓的设备召回并要求转移资金。这一构造精心策划，因为它模仿了真实流程：召回确实会发生，制造商确实会联系客户，而设备的安全问题正是持有者不会犹豫的信息类型。

欺诈在于下一步。召回通常意味着寄回设备或更换设备。它绝不代表你将余额转移到任何地方，也绝不代表你在任何地方输入恢复助记词。然而，这正是目标所在：有了十二或二十四个字，任何余额都可以在几分钟内被清空，可以从世界上的任何计算机进行操作，而无需实际设备参与。

第二个明显的特征是时间压力。任何设定几小时期限或声称迫在眉睫的风险的措辞都服务于同一个目的：让你在行动之前不要提问。声誉良好的制造商和权威机构不会设定几小时的期限。德国联邦信息安全办公室（BSI）在其针对垃圾邮件和网络钓鱼的消费者页面上汇编了此类信息的典型特征。

制造商永远不会要求的内容：恢复助记词、PIN码和密码短语

在其信函中，Foundation做出了适用于所有其他提供商的承诺：公司永远不会要求提供恢复助记词、PIN码或密码短语，也永远不会要求你转移资金。由此可以推导出一条无需技术知识即可运作且任何伪造发件人都无法规避的规则。

恢复助记词（通常称为种子短语）是列出十二或二十四个字的列表，从中可以重新计算钱包中的每个私钥。知道它的人就拥有了余额；此时设备只是一块塑料。PIN码锁定设备以防止未经授权的访问，而密码短语是一个额外的字，从相同的恢复助记词创建另一个隐藏账户。

这三者中的任何一个都不会在任何在线地方输入。恢复助记词专门属于设备本身，通过其自己的按钮输入， nowhere else。任何网站、表格、聊天窗口或所谓的支持代理要求提供这些信息，无论请求来源的地址看起来多么真实，都会立即暴露其欺诈本质。在过去三个月的四起案例中，仅凭这一条规则就足以防范。

同样重要的是要知道在发生此类事件后你不需要做什么。制造商的数据泄露并不是更改恢复助记词的理由。该助记词从未在商店系统中，更改它意味着创建新账户并将整个余额转移过去，这将带来所有的错误来源和费用。任何因紧张而匆忙这样做的人都会创造他们试图避免的风险。

GDPR第15条和第34条下的权利

对于德国的受影响者，这不仅是一个安全问题，也是一个数据保护问题。《通用数据保护条例》适用于向欧盟客户销售商品的每家公司，即使其总部设在美国。

第15条赋予您访问权：您可以要求Foundation告知其持有的关于您的个人数据。第34条规定，如果数据泄露对您构成高风险，公司有义务通知受影响者。10月29日的客户信函正式履行了这一目的。如果没有收到通知但曾在此购买的人，可以在依据第15条请求访问的同一封电子邮件中进行询问。

如果公司在一个月内未回应此类请求，您可以向监管机构投诉。在德国，负责的机构是您居住州的当局；地址列在联邦数据保护专员的网站上。在这种情况下，依据第82条提出损害赔偿在法律上是可能的，但需要具体可证明的损失，且根据目前的判例法，仅仅是数据泄露的事实是不够的。

钱包数据泄露：四家制造商，无一私钥受影响

今年的发现既令人不安又令人欣慰。令人不安的是，四家硬件钱包提供商的客户数据在三个月内落入他人之手，且现状无法改变。令人欣慰的是，在这些案例中，没有任何私钥或恢复助记词受到影响。设备信守了承诺。破碎的是围绕它们的交易环境。

冷静审查您的保管方式一次：

检查您的全部持仓是否集中在单个设备上，恢复助记词是否只存放在一个地方，以及该地方是否防火防水。

深思熟虑地决定每日移动的部分：

对于经常移动的小额资金，软件钱包是更好的工具，而设备则用于长期持有。

确定哪些部分需要自我托管：

任何频繁交易者无论如何都需要在受监管的提供商处开设账户；受监管加密交易所的概览显示了哪些交易所在德国运营并持有MiCA许可证。