Passport 钱包用户因 Cloudflare API 密钥泄露面临安全风险

硬件钱包 Passport 的开发商 Foundation 在其关联 Cloudflare API 密钥发生安全漏洞后，向用户发出了警告。该公司表示，被窃取的密钥导致其部分后端基础设施遭到未经授权的访问。

据 Foundation 披露，此次漏洞导致攻击者通过合法渠道向 Passport 用户发送了钓鱼邮件。公司追踪发现，这些邮件的来源是暴露的 API 密钥，而非钱包软件或私钥本身被直接攻破。目前，Foundation 并未表明用户的资金或设备安全性受到直接影响。

该公司承诺，在内部调查结束后将发布一份详细的事故报告。预计该报告将概述 API 密钥是如何获取的、在漏洞窗口期内哪些后端系统可被访问，以及公司已采取哪些措施来弥补这一安全缺口。

涉及 Cloudflare 等第三方基础设施提供商的后端漏洞，是加密货币公司面临的 recurring risk（反复出现的风险）。API 密钥通常授予对电子邮件系统、客户数据库或部署管道的访问权限，即使公司的核心产品（如硬件钱包）与互联网隔离。攻击者经常利用这种区别，利用后端访问权限针对已知用户群发起钓鱼活动，而不是试图突破硬件本身。

Passport 被定位为冷存储硬件钱包，旨在将私钥保持离线状态，远离联网系统。这种架构通常能限制后端漏洞的影响范围，因为签名密钥并不存储在受损的基础设施上。然而，通过公司官方渠道发送的钓鱼邮件往往更具可信度，从而增加了用户点击恶意链接或泄露敏感信息的风险。

Foundation 敦促 Passport 用户对提及账户或设备的意外邮件保持警惕。除了确认漏洞并承诺发布后续报告外，公司尚未公开具体的补救步骤。建议用户在 Foundation 完成调查之前，通过官方渠道验证通信内容，避免点击不明消息中的链接。

此次事件加剧了加密货币行业披露第三方基础设施漏洞的模式，这些漏洞通常导致钓鱼攻击而非直接的资产盗窃。Cloudflare 作为广泛使用的网络基础设施和安全提供商，位于许多加密货币公司的技术栈中，这使得被窃取的 API 密钥成为行业内下游攻击的常见途径。

市场影响

根据 Foundation 披露的信息，此次漏洞似乎不涉及用户资金的直接被盗或 Passport 离线签名过程的破坏。当前的即时风险主要集中在钓鱼尝试上，而非资产损失，这限制了其与托管方漏洞或智能合约漏洞相比的财务影响范围。

对于 Foundation 而言，声誉风险可能是短期内更显著的因素。硬件钱包制造商高度依赖用户对其实操安全性的信任，即使核心设备安全性完好无损，能够发起钓鱼活动的后端漏洞也会削弱用户信心。即将发布的事故报告将成为衡量该公司未来如何管理这种信任的关键信号。

Foundation 的披露突显了后端基础设施而非核心产品可能成为安全链条中的薄弱环节。在公司最终确定调查和公开报告期间，建议用户保持警惕，留意可疑通信。

常见问题解答

Passport 钱包制造商 Foundation 发生了什么？

Foundation 披露，与其后端系统关联的 Cloudflare API 密钥遭到窃取，这导致向 Passport 用户发送了钓鱼邮件。

用户资金或私钥是否受到影响？

Foundation 未报告用户资金或私钥被窃取。该公司表示，此次漏洞涉及用于发送钓鱼邮件的后端访问权限，而非钱包的离线签名系统。

Passport 用户现在应该做什么？

Foundation 建议用户对提及账户的意外邮件保持谨慎，避免点击可疑链接，并通过官方渠道验证通信内容。

Foundation 何时会发布更多细节？

Foundation 表示，一旦内部调查完成，将发布完整的事故报告，但尚未给出具体时间表。