Passport 硬件钱包厂商确认钓鱼邮件源于 Cloudflare API 泄密

生产 Passport 硬件钱包的 Foundation 公司已确认，近期通过其官方域名发送的钓鱼邮件，源头可追溯至遭入侵的 Cloudflare API 密钥。该公司声明，虽然部分客户记录曾存在于攻击者可访问的系统中，但截至目前，尚未发现任何迹象表明 Passport 设备或其所存储的私钥受到实际威胁。

事件调查进展

Foundation 于昨日在 X 平台发布公开通报，首次披露此次安全事件。公告指出，用户收到的虚假邮件伪装成来自官方渠道，而问题根源在于 Cloudflare 上至少一个受损的 API 密钥。发现问题后，公司迅速撤销所有相关密钥，并移除钓鱼邮件中使用的恶意域名。

值得注意的是，就在数日前，Foundation 曾在社交媒体上提醒用户：电子邮件账户是数字资产保护中最易被忽视的薄弱环节。公司建议采用高强度、独立密码管理邮箱，并为关键账户启用硬件支持的通行密钥或双重身份验证以增强防护。

最新数据显示，其邮件系统共识别出超过 23,000 次钓鱼尝试。其中约 19,000 封由 Mailgun 发送，另有 1,500 余封通过 Google Workspace 通道发出。部分收件人接收到多封重复消息，其余则在送达前被拦截或失败。

根据初步调查，原 WooCommerce 系统中的订单记录因数据库迁移过程未完全清理而得以保留。按计划，客户信息应在发货后 60 天内脱敏处理，但新数据表更新后，旧版本仍存有敏感信息。此外，退款记录、弃购购物车及联系表单也包含额外未清除数据。

令人关注的是，有 5,000 个接收钓鱼邮件的地址并未出现在 Foundation 的 WooCommerce 或后续迁移到 Shopify 的平台记录中。出于审慎考虑，公司决定轮换系统中所有密钥，包括那些可能已被访问但尚无确凿证据的部分。同时，公司将离线保存一份原始 WooCommerce 数据副本用于调查，待完成后将永久删除。

公司重申：“我们未发现任何证据表明此次事件导致 Passport 设备或其持有的私钥受到侵害。”

行业安全形势持续承压

近几个月来，加密货币硬件钱包领域接连爆发数据泄露事件。今年 8 月，Trezor 供应商 ShipMonk 声称，超 67,000 名用户的姓名、城市和电子邮件等信息遭窃取。同年 10 月，链上研究团队披露，部分从东南亚经销商 CryptoBilis 购买 Ledger 钱包的用户可能面临高达 8,000 万美元的资产损失，其中个别设备被植入恶意组件。

就在 Foundation 发布声明前一天，另一主要钱包品牌 Keystone Wallet 也报告了类似问题。该公司透露，10 月 20 日，未经授权人员访问其官网，获取了客户的物流信息，包括收货地址与购买产品详情。不过，公司明确表示，钱包密码、私钥以及银行账户和支付卡信息均未受影响。