又有两家加密硬件钱包厂商遭入侵：Foundation钓鱼与Keystone认证密钥泄露

又有两家加密硬件钱包厂商披露安全事件，延续设备本应离线保管比特币等资产却连连出事的艰难阶段。周日，Foundation称有钓鱼邮件看似来自其官方域名，宣称供应商改动了部分设备显示模组、资金正被盗；公司将问题追溯到遭泄露的Cloudflare API密钥并已吊销，同时下线邮件中的恶意域名。联合创始人兼CEO Zach Herbert随后称，部分后端基础设施因自托管应用漏洞被侵入，攻击者可能进入客服收件箱并发送看似正规的邮件；接到首批用户报告约10分钟内已切断发信能力并清出系统。含邮寄地址或电话的邮件，数据可能来自客服收件箱、与其他加密泄露交叉比对，或新Shopify站点近期订单。公司称Passport设备本身安全；隐私政策写明订单发货后线上系统保留姓名地址电话邮箱60天再清除，但有用户反映更早订单仍收到个性化邮件。后续调查说明旧WooCommerce店曾设60天自动脱敏，数据库迁移却把旧订单副本留在后台看不到的遗留表里。Keystone则披露10月20日官网遭未授权访问，经核对Shopify API后确认第三方取得客户物流信息（姓名、联系方式、地址、订单明细）。周一更新称攻击者利用站点第三方数据监控工具漏洞提权，还拿到用于官网认证页核验设备真伪的WebAuth密钥——该密钥在制造时写入、无法擦写。涉及仍含个人信息的买家记录25964条（2024–2026）；公司将销毁库存中带旧认证密钥的18835台设备，不再出售或发货。10月20日前已交付设备仍可正常验真；之后使用旧密钥的设备即便通过在线认证也不能完全排除假货，需联系客服进一步核验。两起事件重心在客户数据与运营系统，而非设备上的私钥；此前Ledger供应链攻击与Coldcard固件缺陷据估合计造成用户损失逾2亿美元。安全研究者强调，泄露与硬件钱包购买绑定的收货地址，可能把远程攻击升级为掌握目标实体位置，近年针对加密持有者的人身侵害风险上升。