Passport 硬件钱包厂商确认钓鱼邮件源于 Cloudflare API 密钥泄露

生产 Passport 硬件钱包的公司 Foundation 已确认，近期从其官方域名发出的钓鱼邮件，系因 Cloudflare 平台上的某个 API 密钥遭到非法访问所致。尽管部分客户信息出现在攻击者可访问的系统中，但截至目前，尚未有任何证据显示 Passport 设备或其所存储的私钥受到威胁。

事件调查进展

Foundation 昨日在 X 平台发布声明，首次公开此次安全事件。该公司指出，有用户收到伪装成官方发件人的电子邮件，经排查，问题源头是位于 Cloudflare 上的一个受损 API 密钥。发现问题后，企业立即撤销全部现有密钥，并移除了用于发送恶意内容的伪造域名。

值得注意的是，就在数日前，Foundation 曾在社交媒体上提醒用户：电子邮件账户往往是数字安全中最易被攻破的环节。建议采用高强度且独立的密码，对高价值账户使用专用邮箱，并尽可能启用硬件支持的通行密钥或双重身份验证机制以增强防护。

最新披露显示，其邮件系统共监测到超过 23,000 次钓鱼攻击行为。其中约 19,000 封通过 Mailgun 发送，另有 1,500 多封来自 Google Workspace。部分收件人接收到重复邮件，其余则在送达前被拦截或失败。

根据初步分析，Foundation 原有的 WooCommerce 订单数据库在迁移过程中未完全清除历史数据。尽管按流程应在发货后 60 天内对客户记录进行脱敏处理，但新旧数据表存在不一致情况。导致订单详情、退款记录、弃购购物车及联系表单中的部分信息仍保留在旧系统中。

更值得关注的是，有 5,000 个接收钓鱼邮件的地址并未出现在 Foundation 的 WooCommerce 或后续迁移到 Shopify 的平台记录中。出于谨慎考虑，公司决定对所有系统密钥进行轮换，包括那些无法确认是否已被访问的密钥。同时，公司将保留一份离线备份的旧版 WooCommerce 数据，供后续调查使用，待调查结束后将彻底销毁。

公司在声明中强调：“目前没有迹象表明本次事件影响了 Passport 设备本身或其持有的私钥安全。”

行业同类事件频发

近几个月来，多家加密货币硬件钱包供应商遭遇类似数据泄露风险。今年 8 月，Trezor 供应链服务商 ShipMonk 表示，超过 67,000 名用户的姓名、城市和电子邮箱等敏感信息被窃取。同年 10 月，链上研究团队发现，从东南亚授权经销商 CryptoBilis 购买 Ledger 钱包的用户中，可能已有价值约 8,000 万美元的资产被盗，部分设备甚至被植入恶意组件。

就在 Foundation 公布此事件的前一天，另一主流钱包品牌 Keystone Wallet 也报告了一起安全问题。据其披露，10 月 20 日，未经授权人员进入其官网后台，获取了客户的物流信息，如收货地址与购买产品类型。不过，公司明确表示，用户的钱包密码、私钥以及银行账户和支付卡信息均未受波及。