2026年10月25日，Foundation公司遭遇邮件域名劫持事件

2026年10月25日，攻击者劫持了Behind Passport比特币硬件钱包的公司Foundation的官方电子邮件域名。他们利用被窃取的Cloudflare API密钥绕过安全过滤器，从合法地址（包括[email protected]）发送网络钓鱼邮件。这些邮件虚假警告用户，称其硬件钱包因显示模块被篡改而正在被召回，并引导收件人访问一个旨在窃取比特币的假冒支持网站。

公告：已发送看似来自Foundation官方域名的垃圾邮件。
我们已追溯至Cloudflare上一个或多个被泄露的API密钥，并已撤销所有API密钥。
垃圾邮件中的恶意域名已被下线。
存储在Passport上的资金是安全的，Passport硬件未受损害。
我们正在不间断地调查确切情况，并将尽快发布报告。

— FOUNDATION (@FoundationHQ) 2026年10月26日

Foundation通过撤销被泄露的API密钥、协调移除恶意网站以及确认Passport设备和用户资金保持安全来做出回应。多名受影响客户报告称，网络钓鱼邮件包含了他们的准确姓名、电话号码、送货地址以及追溯到2025年中期的详细订单历史。虽然被泄露的Cloudflare密钥解释了攻击者如何发送绕过垃圾邮件过滤器的邮件，但并未解释攻击者是如何获取这些客户信息的。Foundation正在调查攻击者是否入侵了单独的后台系统或电商平台。

攻击者利用供应链恐惧心理针对用户

此次网络钓鱼活动通过在制造或交付过程中进行物理篡改的威胁来针对硬件钱包行业。由于邮件来自合法的Foundation地址，它们在技术上显得可信。结合紧急召回警告，这使得骗局更具说服力。X用户Tay指出，这些邮件轻易绕过了垃圾邮件过滤器，并将收件人引导至一个令人信服的假冒网站。Tay还证实，攻击者拥有2025年中期购买的准确记录，显示了泄露的客户信息回溯到了多早的时间点。

可以确认，我刚刚收到一封关于2025年中期购买的此类邮件。 也是很好的网络钓鱼邮件。绕过垃圾邮件过滤。网站做得不错。幸好我从未寄送到我家，但他们似乎有送货地址、购买记录、姓名和邮箱。

— Tay (@tayvano_) 2026年10月26日

客户数据泄露仍是加密货币安全的薄弱环节

未解决的数据泄露问题凸显了硬件钱包行业的重大弱点。虽然硬件钱包使用高级加密来离线保护比特币，但制造商仍收集客户的个人信息以处理订单和交付产品。这对于持有大量比特币的客户来说构成了物理安全风险。如果他们的姓名、地址、电话号码和购买历史被泄露，犯罪分子可能会利用这些信息在现实世界中识别并针对他们。

X用户Maru对此事表示沮丧，质疑如此详细的信息（包括具体的配送方式）是如何泄露的。Maru还表示，此事摧毁了他们对现有安全标准的信任。

这是一个严重的安全问题。
我的名字、地址、电话号码、电子邮件、配送方式都泄露了。
怎么可能全部被盗？
真不知道什么才是安全的。

— Maru (@coconut_maru) 2026年10月26日

另一位用户Arkad指出，多年来类似的数据泄露事件几乎影响了每个主要的硬件钱包制造商。Arkad认为，消费者应假设他们在购买硬件钱包时提供的任何个人信息最终都可能被泄露。

Nombres, direcciones, emails, teléfonos filtrados una vez más.
Passport, Ledger, Trezor, Bitbox, Keystone, Coldcard…
Asume que toda información que cedas será filtrada.
Los atacantes están enviando emails fraudulentos a los clientes.
Gravísimo

— Arkad (@Multicripto) October 26, 2026

Foundation的数据泄露事件类似于2020年竞争对手硬件钱包制造商Ledger发生的一起重大事件。黑客访问了一个电子商务营销数据库，暴露了超过27.2万名客户的物理地址和电话号码。在此后的几个月里，受害者面临着普通网络钓鱼邮件之外的针对性攻击。犯罪分子利用泄露的电话号码实施SIM卡交换攻击，试图绕过中心化加密货币交易所的双因素认证。一些受害者还报告在家中收到要求支付赎金的物理威胁。

该事件凸显了硬件钱包提供的强大密码学保护与用于销售和交付它们的客户数据库周围较弱的安全性之间的差距。