比特币硬件钱包厂商 Foundation 疑遭钓鱼邮件攻击，邮件以护照产品紧急召回为名，从公司官方域名向用户群发。目前 Foundation 归咎于 Cloudflare API 密钥泄露，但收件人反映，钓鱼邮件还泄露了其家庭住址等敏感信息。
Foundation 专注于研发比特币专用的硬件钱包 Passport。尽管其回应解释了邮件的发送方式，却未明确攻击者如何获取到持有设备的用户名单。
钓鱼召回邮件缘何精准触达真实用户？
周日，一批带有紧急召回通知的邮件抵达用户邮箱。邮件称某供应商更换了显示组件，部分设备因此存在被攻击者盗取资产的风险。
邮件要求用户不要等待新设备，直接点击一个链接前往 foundation.support 站点。该钓鱼网站仿冒了 Foundation 的配套钱包应用 Envoy。
页面显示为一个空钱包，并提供转账按钮，诱导用户将比特币发送至攻击者地址。
此次比特币钱包钓鱼事件精准击中了业内痛点。2026 年以来，硬件钱包遭篡改的报道屡见不鲜，因此供应链安全警告极具迷惑性。
Foundation 于周一早间在 X 平台回应，称攻击者利用了一组被盗用的 Cloudflare API 密钥，目前相关密钥已全部吊销。
Foundation 团队表示，恶意网站已下线，Passport 钱包内的资金及硬件本身未受到影响，用户资产安全无虞。
ANNOUNCEMENT: SPAM EMAILS HAVE BEEN SENT THAT APPEAR TO HAVE COME FROM OFFICIAL FOUNDATION DOMAINS.
— FOUNDATION (@FoundationHQ) October 26, 2026
We have traced this back to one or more compromised API keys on Cloudflare, and have already revoked all API keys.
The malicious domain in the spam email has been taken down.…
比特币钱包钓鱼事件暴露用户数据保护疑云
不过，多位用户指出，单靠 API 密钥泄露难以解释攻击者如何掌握了他们的姓名、手机号和邮寄地址。
有用户表示，自己收到邮件发自 jobs@foundation.xyz 的官方邮箱，内容不仅包含全名，还包括两年前购买钱包时登记的地址。
Got an email from jobs@foundation.xyz (their real domain) saying my 2-year-old wallet I got from them is compromised. It has my full name and address. @FoundationHQ is this legit? @zherbert @sethforprivacy @btcqna pic.twitter.com/YUBQYTGkdY
— blockdyor (@blockdyor) October 26, 2026
早在 2022 年，Foundation 就曾公开承诺，自主托管客户支持聊天和邮件营销系统，以降低第三方平台风险。
同一讨论中，Foundation 还曾补充说明，所有客户数据将在订单发货 60 天后删除。
另一用户透露，此次邮件有两个版本。购买过产品的客户收到包含完整订单信息的邮件，曾应聘职位但未下单的用户则只收到带姓名的邮件。
截至目前，Foundation 尚未就客户数据库是否遭泄露作出回应。官方表示，后续将尽快发布详细调查报告。
被泄露的快递信息，往往不仅仅引发首轮骗局。例如，Ledger 钱包买家在此前收到过假冒邮寄信件，而这背后则是客户信息泄露事件所致。
因此，此次比特币钱包钓鱼案的风险，从电子邮箱蔓延到了用户家门口。与此同时，CertiK 预计加密行业“扳手攻击”有望在 2026 年创下新高。
在 cn.beincrypto.com 阅读由 Phil Haunhorst 撰写的原始文章 Passport 钱包安全性及基金会对钓鱼邮件回应