Foundation钱包遭钓鱼攻击，2.3万次钓鱼邮件触发数据泄露调查

硬件钱包厂商Foundation正在调查数据泄露事件，攻击者发起超两万三千次钓鱼邮件，试图诱导用户输入助记词。泄露根源来自旧电商平台遗留的备份数据表，里面留存用户联系方式与收货信息。好在硬件钱包本身是离线隔离设计，私钥没有泄露风险。下面小编简单梳理了Foundation遭遇数据泄露的相关消息。

10月26日本周一，硬件钱包厂商Foundation证实，在监测到针对用户的2.3万余条钓鱼邮件后，团队已启动数据泄露事件调查。

”很多用户询问个人信息为何会出现在钓鱼邮件中，尤其是多年前下单的老用户。现将目前排查结果公布如下。钓鱼邮件情况：我们已在自有系统内识别出超过23000起钓鱼攻击尝试……“

——FOUNDATION（@FoundationHQ），2026年10月26日

攻击者使用仿官方域名发送欺诈邮件。Foundation披露，一共监测到23000余起钓鱼尝试，其中19057封通过Mailgun服务发出，1503封经由谷歌工作空间发送。部分用户收到多封重复钓鱼邮件，还有一部分邮件在送达收件箱前就被拦截。厂商说明，该统计数量不等于受影响的独立用户人数。

本次信息泄露源头，来自旧电商平台遗留的数据表。该公司在2026年5月把线上商城迁移至Shopify之前，使用WooCommerce建站，原本设置规则：发货60天后对客户数据做匿名化处理。在后台管理面板里，买家信息显示为已删除状态，但此前数据库迁移时，相关记录被复制到辅助数据表中，不在前台视图展示。这些历史备份里留存了姓名、手机号、邮箱、收货地址，还包含退款申请记录、未完成下单的购物车信息。Foundation官方公告提到，仅依靠后台面板的显示状态，无法确保底层存储中的数据真正清除。2026年5月迁移到Shopify之后产生的订单数据也存在泄露风险，当时自动删除工具还处于开发阶段。

有多名用户反馈，收到的钓鱼邮件包含自己从未向该公司提交过的信息。调查组正在核查攻击者是否将本次拿到的数据和其他外部泄露库做交叉匹配。

API密钥泄露与硬件资产安全情况

本次入侵入口和网络基础设施凭证相关。根据10月25日公告，攻击者窃取了该公司一个或多个Cloudflare API密钥。API密钥可提供自动化管理权限，无需传统密码，而Cloudflare负责网站路由与域名解析等核心服务。发现异常后，技术团队立刻吊销该平台下全部有效密钥，用于发送钓鱼邮件的恶意域名也已同步关停。

欺诈邮件诱导用户在外部网站输入助记词，邮件内附带用户真实历史下单信息，以此提升骗局可信度。本次事件中，Passport冷钱包设备本身未被攻破。厂商强调，私钥依托设备隔离架构，全程安全。Passport Core和PassportP rime均采用空气隔离方案，无蓝牙、常规数据接口，仅支持二维码或者MicroSD卡交互。

行业消息提到同类事故在硬件钱包厂商中也曾发生：2020年Ledger电商服务器漏洞泄露27.2万余名客户联系方式，后续长达数个季度持续出现敲诈与钓鱼攻击。

Foundation表示，将关停遗留旧系统，同时留存证据供取证审计。取证核验全部完成后，会对外发布完整调查报告。