Foundation 已發出警告,提醒 Passport 硬體錢包用戶注意假冒該公司名義的釣魚郵件,這些郵件謊稱存在嚴重的供應鏈漏洞,攻擊者可能藉此竊取受影響設備中的加密貨幣。

這些詐騙訊息於 2026 年 10 月 25 日流傳,敦促收件人前往一個偽造的召回網站,並以保障錢包安全為藉口提交其 12 個單字的恢復短語。郵件提及 Passport Founder's Edition、Core 與 Prime 設備,同時假冒 Foundation 執行長 Zach Herbert 的名義發送通訊。相關說法屬於釣魚攻擊,而非經證實的硬體漏洞,也不是正當的產品召回。目前尚無經獨立核實的竊盜或財務損失歸因於這批最新郵件。

假召回通知企圖竊取恢復短語

這場釣魚攻擊利用緊急安全警告,讓硬體錢包擁有者相信其設備可能在製或配送過程中遭入侵。收件人被引導至一個假冒 Foundation 官方支援基礎設施的網站,並被指示輸入恢復短語以完成所謂的安全驗證或召回程序。

值得注意的是,該詐騙頁面索取 Bitcoin、Ethereum 和 Solana 錢包的恢復憑證,儘管 Foundation 的 Passport 產品主要是圍繞 Bitcoin 安全與自我託管設計的。這些訊息模仿 Herbert 的身分及公司的安全通訊,試圖讓召回行動顯得可信。

任何提交有效恢復短語的人,都會讓攻擊者取得足以重建相關錢包的資訊,並可能在無須接觸實體硬體設備的情況下轉移其資產。這場攻擊依賴於直接從用戶手中取得憑證,而流傳的郵件並未證明 Passport 韌體、硬體安全元件或 Foundation 自身的基礎設施已遭入侵。

Foundation 重申切勿分享錢包種子

Foundation 維持嚴格政策,絕不會透過電子郵件、支援工單或直接訊息索取錢包憑證——包括恢復短語、私鑰、通關密語和 PIN 碼,正如該公司公開重申的立場。該公司也提醒用戶警惕未經主動請求的軟體下載、錢包驗證網站,以及以安全為由要求轉移加密貨幣的請求。

Passport 擁有者應忽略這些詐騙召回訊息,避免點擊相關網站,並透過 Foundation 官方安全資源查證任何真正的安全公告。

已經在釣魚網站輸入恢復短語的用戶,應將相關錢包視為已遭入侵。剩餘資金應透過可信的硬體或軟體,轉移至使用全新恢復短語產生的新錢包。若攻擊者已掌握恢復憑證,僅更新韌體或更改設備 PIN 碼將無法保護資金。

硬體錢包釣魚攻擊持續席捲業界

這場最新攻擊與 9 月鎖定 Trezor 和 BitBox 用戶的協同釣魚攻擊極為相似。那些訊息謊稱影響錢包恢復短語產生的安全缺陷,並引導收件人前往詐騙驗證網站。Trezor 的事件涉及第三方電子郵件服務遭到未經授權的存取,而 BitBox 則調查了涉及其電子報供應商的類似事件。

在客戶資訊外洩事件後,硬體錢包擁有者也面臨針對性詐騙。Keystone 最近揭露客戶地址與購買詳情外洩,讓犯罪分子有機會利用真實訂單資訊假冒客服人員。今年稍早,Ledger 客戶也收到謊稱公司合併的釣魚郵件,起因於涉及電子商務合作夥伴 Global-e 的資料外洩事件。

Foundation 尚未透露有多少 Passport 擁有者收到 10 月 25 日的訊息,也未查明假召回網站背後的操作者,或證實是否有任何恢復短語被成功收集。該公司持續引導客戶透過其官方支援管道處理錢包安全疑慮。