API 密钥泄露致 2.3 万次钓鱼：硬件钱包厂商陷数据危机

据 Woofun AI 消息，硬件钱包品牌 的开发商 遭遇严重安全事件，其 API 密钥失窃导致超过 23,000 次网络钓鱼邮件发送尝试，客户个人信息面临泄露风险。

此次攻击的核心在于基础设施层面的失守。当地时间 25 日，攻击者利用窃取的 API 密钥及自托管应用程序漏洞，渗透进公司内部系统及客户支持邮箱。Woofun AI 整理数据显示，攻击者通过 发送了 19,057 封钓鱼邮件，经由 发出 1,503 封，总计逾 23,000 次。更深层的隐患源于数据迁移遗留问题：Foundation 在今年 5 月从 迁移至 时，虽设定订单生成 60 天后自动匿名化，但旧系统中的部分订单、退款及购物车记录未被彻底清除。这些过时数据成为突破口，使攻击者获取了约 5,600 个地址、5,200 个电话号码以及客户姓名和邮箱，并据此伪造看似官方的通知，诱导用户输入恢复密码。

值得注意的是，恢复密码是访问数字资产的唯一关键，一旦泄露，即便拥有硬件设备也无法保障资产安全。

Foundation 在接到用户报告后 10 分钟内紧急阻断非法邮件发送，销毁相关认证信息并关停存在漏洞的旧服务。这一事件警示行业，硬件钱包的物理安全性并非绝对屏障，制造商的客户数据管理与邮件基础设施同样构成关键风险敞口。随着监管对数据隐私要求趋严，此类由供应链和数据遗留问题引发的安全危机，或将推动硬件钱包厂商重构其后台数据治理体系。