伪造邮件事件始末
核心摘要：攻击者在入侵 Cloudflare API 密钥后，利用官方域名发送伪造邮件。公司随即撤销了相关密钥并下线了恶意链接域名。CEO Zach Herbert 确认，攻击者可能通过自托管应用的漏洞访问了客户支持邮箱。基金会强调，Passport 硬件设备及其中存储的资金依然安全。更多细节将于 10 月 27 日披露，随后将发布正式事故报告。
比特币硬件钱包制造商 Foundation 警告用户遭遇钓鱼邮件
比特币硬件钱包制造商 Foundation 已警告客户注意来自其官方域名的伪造邮件。该公司表示，攻击者在获取了一个或多个 Cloudflare API 密钥后侵入了系统。
Foundation 于 10 月 26 日发布安全公告称，Passport 设备及其中存储的资金保持安全状态。
公告：有垃圾邮件发出，看似来自 Foundation 官方域名。
—— FOUNDATION (@FoundationHQ) 2026年10月26日
我们已追踪到这是由一个或多个被入侵的 Cloudflare API 密钥导致的，并已撤销所有 API 密钥。
垃圾邮件中列出的恶意域名已被下线。……
来自官方域名的伪造邮件
客户首先是在收到可疑消息时发现的问题。这些邮件看起来似乎来自 Foundation 的真实电子邮件系统。
大多数网络钓鱼诈骗使用外观相似的地址。在此案例中，据报道攻击者利用了与公司实际域名关联的系统权限，使得消息看起来非常真实。
Foundation 表示，它已撤销 Cloudflare API 密钥并下线了邮件中列出的恶意域名。“存储在 Passport 上的资金是安全的，Passport 硬件未受侵害。”该公司声明。
该公司尚未说明发送了多少封邮件或有多少客户收到了邮件。它也尚未说明是否有人按照消息中的指示进行操作。
CEO 确认支持邮箱可能遭入侵
联合创始人兼首席执行官 Zach Herbert 表示，攻击者进入了公司后端系统的部分区域。他们利用了自托管应用程序中的一个漏洞。
Herbert 说：“攻击者很可能能够侵入我们的客户支持邮箱。”他补充道，团队在收到用户报告后的 10 分钟内就停止了伪造邮件活动，并移除了攻击者的访问权限。
Foundation 团队正在积极处理此事。如有任何问题请提及我，我将尽快回答。当我们掌握所有细节时，将分享正式报告。
— Zach Herbert 🇺🇸 (@zherbert) 2026年10月26日
Passport 设备是安全可靠的。
目前我们所知：部分后端基础设施……
部分伪造消息包含了客户的电话号码或邮寄地址。Foundation 认为这些数据可能来自其支持邮箱、较早泄露的加密货币客户数据库，或通过其 Shopify 商店进行的近期订单。
该公司尚未确认个人详细信息背后的来源。它也尚未确认其客户数据库遭到全面入侵。
“我非常抱歉。”Herbert 写道。他承诺在完成审查后将提供更多细节和正式报告。
Passport 的设计旨在使比特币私钥远离连接到互联网的设备。因此，公司电子邮件系统的入侵本身并不意味着硬件或存储的密钥受到影响。
然而，如果用户在假冒网站或应用程序上分享助记词，仍然可能损失资金。Foundation 尚未确认在此次事件中是否有助记词被盗。
其他钱包制造商也面临过类似问题。9 月份，Trezor 和 BitBox 警告称，与影响 138 个客户账户的 Brevo 漏洞相关的网络钓鱼邮件存在风险。10 月 24 日，Keystone 表示，未经授权的网站访问导致客户姓名、地址和购买详情泄露。
这些事件涉及不同的系统，且已知与 Foundation 的攻击无关。
收到可疑消息的客户不应点击链接、输入助记词或将钱包连接到未知应用。任何已分享助记词的人都应将该钱包视为已受损，并将资金转移到新钱包中。
Foundation 表示将在调查期间继续回答客户问题。该公司计划于 10 月 27 日分享更多细节，随后将发布完整的事故报告。
