Foundation 警告客户遭遇仿冒邮件攻击，确认基础设施受损但资金安全
比特币硬件钱包制造商 Foundation 发出警告，称攻击者在入侵其 Cloudflare API 密钥后，发送了看似来自官方域名的欺诈性电子邮件。公司同时强调，Passport 设备及其中存储的资金保持安全，目前正在进行详细的调查。
事件概要
Foundation 报告指出，攻击者发送了看似源自其官方域名的欺诈邮件。公司已撤销受影响的 Cloudflare API 密钥并下线了恶意域名。首席执行官 Zach Herbert 确认了后端基础设施遭到破坏，且客户支持邮箱可能存在访问权限泄露的风险。尽管发生此事件，Foundation 坚称 Passport 硬件及存储的资金未受威胁，目前正全力展开深入调查。
仿冒邮件溯源与应急响应
根据 Foundation 于 10 月 26 日发布的公告，公司追踪到未经授权的邮件发送行为源于一个或多个被滥用的 Cloudflare API 密钥。在获悉该事件后，公司立即撤销了相关凭证。联合创始人兼首席执行官 Zach Herbert 随后披露，攻击者通过利用自托管应用程序中的漏洞，获得了公司部分后端基础设施的访问权限。目前的调查重点在于确定客户沟通记录和个人信息是否因此暴露。
此次事件是在客户收到可疑消息后浮出水面的，这些消息看起来似乎源自 Foundation 合法的邮件基础设施。与普通使用相似域名进行钓鱼攻击不同，据报道，攻击者利用了与公司实际域名相连的系统权限，使得邮件对收件人而言显得极具真实性。
Foundation 表示已识别问题所在，并移除了邮件中引用的恶意域名。作为紧急安全措施，公司撤销了其 Cloudflare API 密钥。“存储在 Passport 上的资金是安全的，Passport 硬件也未受到损害。”公司在声明中写道。
然而，该声明并未披露发送了多少封邮件、多少客户收到了这些邮件，以及是否有用户按照恶意指示操作。公司尚未公布欺诈邮件的完整内容，也未确认用户在收到邮件后是否输入了助记词或其他敏感信息。Foundation 正在继续调查，并承诺发布一份详细报告以解释事件经过。
CEO 透露客户支持邮箱可能遭入侵
Herbert 提供了关于疑似入侵事件的更多细节，解释称攻击者利用了一个涉及自托管应用程序的漏洞。“攻击者很可能能够访问我们的客户支持邮箱，”他表示，并补充说他们获得了分发看似合法邮件的能力。
据 Herbert 介绍，公司在收到用户报告后的 10 分钟内禁用了未经授权的邮件活动，并删除了攻击者对受影响系统的访问权限。Foundation 团队正在积极处理此事，任何疑问请 @ 我，我将尽快回复。一旦掌握所有细节，我们将分享正式报告。Passport 设备是安全可靠的。截至目前我们所知：我们的一些后端基础设施……（详见 Twitter 链接）— Zach Herbert 🇺🇸 (@zherbert) 2026年10月26日
这位高管承认，一些欺诈性邮件中包含客户的电话号码或邮寄地址引发了担忧。Foundation 认为这些信息可能来源于对客户支持邮箱的访问、此前泄露的加密货币客户数据库，或通过其 Shopify 商店处理的近期订单。公司尚未确定哪种解释能说明个别邮件中出现个人信息的原因，也未证实客户数据库发生了全面泄露。
Herbert 表示，调查将审查受影响的基础设施，并查明攻击者是如何获得访问权限的。“非常抱歉，”他写道，并承诺在公司完成审查后将提供进一步细节和正式报告。
硬件钱包钓鱼攻击持续引发关注
由于来自可信硬件钱包制造商的消息往往能说服收件人遵循那些本应引起质疑的指令，此次攻击引发了广泛关注。Passport 的设计初衷是将比特币私钥与联网设备隔离开来。因此，仅证明公司邮件基础设施遭到破坏，并不能直接表明其硬件钱包或其中存储的密钥已被攻破。
但是，如果用户通过欺诈网站或应用程序泄露了钱包助记词，仍可能导致加密货币损失。今年九月，Trezor 和 BitBox 因第三方电子邮件服务问题而发布了类似的钓鱼警告，当时硬件钱包客户也面临类似风险。随后的调查将此次钓鱼活动追溯到 Brevo 授权漏洞，该漏洞影响了 138 个客户账户。攻击者利用多个账户分发欺诈消息，并从其他账户导出联系人列表。
这些事件涉及不同的基础设施，并未建立与 Foundation 攻击的任何联系。最近，Keystone 确认客户信息已通过未经授权的网站访问途径泄露。其在 10 月 24 日的披露涵盖了姓名、收货地址、联系方式和购买信息，同时公司表示私钥和助记词仍然安全。虽然这些事件涉及不同的方法，但都引发了人们对被盗客户详情如何被用于针对性钓鱼尝试的疑问。
Foundation Passport 用户下一步该怎么做？
Foundation 的披露并未表明 Passport 所有者仅仅因为公司邮件系统遭到破坏就需要更换设备或迁移资金。收到可疑消息的客户应避免点击嵌入链接、输入助记词或将钱包连接到不熟悉的应用程序。即使通信看似来自官方域名，也不应将其视为真实性的证明。
任何已泄露助记词的人都应将关联的钱包视为已 compromised（受损/被攻破），并在可能的情况下，将剩余资金转移到使用新助记词生成的钱包中。Foundation 尚未确认在此次事件中助记词被盗。Herbert 表示，团队将在调查可能的支持邮箱泄露、被攻陷的应用程序以及欺诈邮件中个人信息的来源时，继续回答客户的问题。
公司承诺将于 10 月 27 日分享更多细节，并在调查确定完整事件序列后发布正式事故报告。
