API 泄露致假召回，Foundation CEO 致歉

据 Woofun AI 消息，硬件钱包制造商 遭遇基础设施入侵，导致针对用户的钓鱼攻击爆发，首席执行官 对此紧急回应并致歉。此次事件并非硬件本身故障，而是通信渠道被劫持，攻击者利用泄露的凭证发送了包含真实用户隐私信息的虚假召回通知，引发了行业对硬件钱包服务商后端安全性的深度担忧。

攻击的技术路径始于 2026 年 10 月 25 日，总部位于波士顿的 Foundation 披露其 Cloudflare API 密钥被盗，致使攻击者能够以官方域名身份发送邮件。这些邮件伪装成紧急产品召回通知，声称 设备的显示组件存在故障，可能导致比特币被盗，进而诱导用户访问一个与 Foundation 配套应用 高度相似的假冒网站，企图窃取恢复短语或诱使转账。

尽管 Foundation 强调存储在 Passport 中的资金依然安全，且包括 Founder's Edition、Core 和 Prime 在内的所有硬件设备均未受损，但攻击者已实际触达用户。Zach Herbert 表示，公司在收到用户报告后的 10 分钟内便采取了行动，撤销了相关 API 密钥，关闭了恶意域名，并阻断了进一步的未经授权邮件发送。

Woofun AI 整理数据显示，此次响应速度虽快，但攻击窗口期内已造成实质性的信息暴露风险，且攻击者通过模仿官方口吻成功构建了高可信度的诈骗场景。

更深层的安全隐患在于敏感个人信息的暴露范围。收件人发现钓鱼邮件中不仅包含家庭地址、电话号码，还详细列出了过往的购买记录，这表明攻击者获取的数据远超简单的邮箱列表。Herbert 承认，部分后端基础设施因自托管应用 中的漏洞被攻破，攻击者很可能借此进入了 Foundation 的客户支持邮箱。

此外，其他潜在的信息来源包括此前泄露的客户记录以及通过 Foundation 的 Shopify 店铺进行的近期购买记录。令人不安的是，受影响人群不仅限于现有客户，据报道，甚至一些曾经的求职者以及多年前联系过该公司的个人也收到了此类邮件，而那些曾经要求删除自身数据的客户也对为何自己的信息会出现在邮件中感到疑惑。Foundation 尚未确定信息泄露的具体范围，也未透露有多少人收到了恶意邮件，这种不确定性加剧了用户的焦虑。

值得注意的是，此次事件与 Keystone 近期发生的客户数据泄露事件形成呼应，Keystone 同样披露了未经授权的网站访问行为，影响了客户的姓名、配送地址及订单信息，但两家公司均坚称私钥和恢复短语并未泄露。

这一对比凸显了硬件钱包行业中，硬件私钥存储与后端客户服务数据隔离的重要性，以及第三方服务集成带来的潜在风险。

随着钓鱼攻击威胁不断增加，硬件钱包的安全性依然取决于用户的行为规范。Foundation 的用户应忽略那些未经请求的召回通知，通过官方渠道核实相关公告，绝不要在不明网站上输入恢复短语。任何已经泄露恢复短语的人都应该使用可信设备创建一个新的钱包来转移资金。Herbert 已就此致歉，并承诺会提交一份详细的事件报告。

目前，尚未解决的问题并非 Passport 的硬件是否存在缺陷，而是攻击者究竟是如何获得足够多的客户信息，从而使那些虚假的警告看起来如此真实。在 2026 年 10 月 26 日美国东部时间上午 6:48 这一时间点，比特币价格为 80,327 美元（涨幅+0.21%），以太坊价格为 2,328 美元（涨幅+0.29%），市场情绪相对稳定，但此类安全事件可能引发用户对硬件钱包服务商信任度的短期波动。