API 密钥泄露致住址曝光：硬件钱包钓鱼案

据 Woofun AI 消息，比特币硬件钱包厂商 遭遇一起极具针对性的钓鱼攻击，攻击者利用被盗用的 Cloudflare API 密钥，从其自有域名向用户发送伪装成紧急召回通知的恶意邮件。此次事件的核心风险不仅在于资金窃取，更在于攻击者精准掌握了用户的家庭住址等敏感个人信息，引发社区对硬件钱包数据隐私保护能力的严重质疑。

尽管 Foundation 迅速回应称已吊销相关密钥并关闭恶意域名，但攻击者获取用户详细身份信息的途径仍未得到合理解释，暴露出供应链安全与客户数据管理之间的巨大漏洞。

从攻击链路来看，这些邮件于周日以'紧急召回'为名义送达，声称供应商篡改了 设备的显示模块，并警告资金正从受影响设备中被窃取，以此制造紧迫感催促用户行动。邮件中附带的链接将用户导向 foundation.support 这一仿冒 Foundation 配套钱包应用 的虚假网站，页面展示空钱包及'存款'按钮，旨在诱使受害者主动发送比特币。

这种手段精准利用了 2026 年间硬件钱包供应链篡改报道频发的市场焦虑，使得警告显得极具可信度。Foundation 在周一早间通过 X 平台回应，承认攻击者利用了 Cloudflare 上的一个或多个被盗 API 密钥，并已采取措施阻断访问。

然而，Woofun AI 整理数据显示，这种技术层面的解释无法涵盖攻击者为何能获取用户的全名、电话号码及邮寄地址。更有用户指出存在两种版本的邮件：普通客户收到包含完整订单详情的消息，而曾经的求职者则仅看到姓名，这暗示数据泄露可能涉及不同权限的客户数据库或营销工具系统。

值得注意的是，Foundation 此前曾宣称通过托管聊天和服务邮件营销工具来降低第三方风险，并承诺在订单发货 60 天后删除客户数据。然而此次事件中，两年前交易数据的完整保留与泄露，直接证伪了其数据清除政策的执行有效性。截至目前，Foundation 尚未确认其客户数据库是否遭到直接入侵，仅表示将尽快发布详细报告。

这种信息不对称加剧了社区的恐慌，因为被盗用的 API 密钥仅解释了邮件发送渠道的非法占用，却未触及个人身份信息（PII）泄露的根本原因。若数据确系内部数据库泄露，其后果将远超单次钓鱼攻击，可能引发长期的身份盗用风险。

此外，泄露的配送数据往往具有长尾效应，在此前的 Ledger 钱包客户数据泄露事件中，购买者就曾收到过寄送的假信件，证明数字泄露会迅速转化为物理世界的威胁。此次 Foundation 事件使得威胁从电子邮箱延伸至用户的实际住所，进一步放大了硬件钱包用户在隐私安全方面的脆弱性。

更关键的变量在于，随着 预计 2026 年针对加密货币设备的钓鱼攻击数量将达到历史新高，此类结合社会工程学与技术漏洞的攻击模式将成为常态。Foundation 的此次危机不仅是单一的安全事故，更是整个硬件钱包行业在数据最小化原则执行上的集体警钟。当'冷存储'的安全承诺被'热数据'的泄露所抵消，用户信任体系将面临重构。对于投资者和用户而言，评估硬件钱包的安全性已不能仅局限于私钥的离线存储，还需深入考察厂商的客户数据生命周期管理能力。

这一事件标志着攻击者已从单纯的资金窃取转向对用户全维度身份信息的掠夺，未来针对隐私数据的防御将成为 Web3 基础设施安全的新核心议题。