Foundation 安全事件：仿冒邮件攻击致基础设施受损，资金仍安全

比特币硬件钱包制造商 Foundation 发布安全警告，披露其 Cloudflare API 密钥被攻击者滥用，导致伪造官方域名的欺诈性电子邮件被大规模发送。公司强调，Passport 硬件设备及其所承载的资金目前处于安全状态，正在推进全面技术审查。

事件背景与影响范围

此次事件源于攻击者通过自托管应用中的漏洞获取了部分后端系统的访问权限。在 10 月 26 日公告中，Foundation 表示已识别并移除恶意域名，同时撤销了相关联的 Cloudflare API 密钥。尽管通信系统受到干扰，但核心资产保护机制未被突破。

客户信息风险引发关注

首席执行官 Zach Herbert 指出，攻击者可能已访问客户支持邮箱，从而获得部分用户的电话号码、邮寄地址等敏感信息。这些数据可能来自客户支持记录、过往订单或第三方平台（如 Shopify）的交易流程。公司尚未确认是否存在大规模数据库泄露，调查仍在进行中。

值得注意的是，此次攻击不同于常规钓鱼手段，攻击者利用了与真实域名绑定的系统权限，使邮件在外观上极具可信度，增加了用户识别难度。

应急响应与用户应对建议

Foundation 在接到用户报告后的十分钟内即中断了异常邮件分发，并清除攻击者访问痕迹。公司承诺于 10 月 27 日更新进展，并将在调查完成后发布完整事故报告。

针对用户，公司建议：切勿点击可疑链接、不输入助记词、不将钱包连接至未知应用程序。即使邮件显示为官方来源，也需保持警惕。若已泄露助记词，应立即将资金转移至新生成的钱包。

目前尚无证据表明助记词或私钥已被窃取，但历史案例（如 Trezor、BitBox 和 Keystone 的类似事件）提示，客户数据一旦外泄，极易被用于精准钓鱼攻击。

行业警示：硬件钱包并非绝对免疫

尽管 Passport 设计理念是实现私钥离线存储，具备高安全性，但本次事件凸显了前端通信环节的风险。一旦企业基础设施被攻破，即便硬件本身未受损，仍可能诱导用户主动交出密钥。

此类攻击频发反映出加密行业在身份验证与通信安全方面的薄弱环节。未来，强化多因素认证、提升日志监控能力以及建立更透明的事件通报机制将成为关键防御方向。