Passport比特币硬件钱包制造商Foundation表示，从其官方域名发出的诈骗邮件已被追踪至至少一个泄露的Cloudflare API密钥。该公司于10月25日晚间撤销了全部API密钥，并表示Passport设备及其存储的比特币安全无虞。

该公司于美国东部时间晚上11点47分在X上发布警告称："Passport资金是安全的。"此前，看似来自Foundation官方域名的垃圾邮件已在流传，邮件中引用的恶意域名已被关闭。

API密钥允许软件在无需密码的情况下访问账户，一次泄露即可让持有者获得入侵途径。Foundation表示："存储在Passport上的资金是安全的，Passport硬件未被攻破。"该公司还表示，正全天候工作以查明事件的确切经过，并将发布一份报告——该文件预计将说明密钥如何泄露以及客户订单信息是否被访问。

根据Foundation的设置指南，Passport Core是一款用于存储密钥和签署交易的离线设备。每笔交易由配对的软件钱包构建，再由设备批准。正是这种离线设计，使得此类攻击活动瞄准的是收件箱而非硬件本身。

买家称邮件中包含其姓名和地址

X用户@crisisdot表示，其在美国东部时间晚上11点29分收到来自hello@foundation.xyz的邮件，"称我的Passport资金面临风险，并要求我转移至新的助记词。"同一用户还表示，incident.foundation.xyz上的一个网站也在运行，并称Foundation的"电子邮件和DNS已被攻破。"

来自收件人的三条帖子——分别来自@crisisdot、@tayvano_和@CSBastiat——发布于美国东部时间晚上11点29分至11点44分之间，均在Foundation发声之前。

一位客户表示，邮件提及了2025年年中的一笔购买，且未被垃圾邮件过滤器拦截。同一买家称，骗子似乎掌握了一个收货地址、姓名、电子邮箱和购买信息。另一位收件人表示，其姓名、地址和电子邮箱也出现在邮件中。

Foundation尚未说明客户订单信息是否被访问，也未说明发件人是如何获取这些信息的。其隐私政策声明，Foundation无法找回丢失的助记词或私钥，并且"绝不会要求你披露它们。"一封诱使用户转移至新助记词的邮件直接违背了这一指引，因为助记词是永远无需离开设备的凭据。

Trezor在9月遭遇类似攻击

据Cryptopolitan报道，钱包制造商Trezor曾于9月9日警告用户，有攻击者通过其第三方邮件服务商发送虚假的"严重安全警报"。一位收件人表示，该邮件通过了DKIM、SPF和DMARC验证。Trezor随后关闭了用于发送该邮件的域名。

Casa首席执行官Nick Neuman表示，BitBox用户似乎也收到了类似邮件，一家共用的营销邮件服务商可能已被攻破。几周前，Trezor买家名单曾遭泄露：物流合作伙伴ShipMonk发生的泄露事件导致约80,700名用户的姓名、地址、电话号码、电子邮箱和订单数据外泄。Trezor表示，没有任何设备、私钥或钱包备份被攻破。综合来看，9月和10月的这两次攻击活动表明，硬件钱包制造商正在应对一种通过第三方服务邮件发送、云配置、物流——而非设备本身触达客户的威胁。