Passport Bitcoin 硬體錢包製造商 Foundation 表示，從其官方網域發送的詐騙郵件已追查出至少與一組外洩的 Cloudflare API 金鑰有關。公司於 10 月 25 日晚間撤銷了所有 API 金鑰，並表示 Passport 裝置及其儲存的 Bitcoin 安全無虞。

「Passport 資金安全無虞」，公司在 on X 於美東時間晚上 11 時 47 分發布的警告中表示。看似來自 Foundation 官方網域的垃圾郵件當時已在流傳，郵件中引用的惡意網域也已被關閉。

API 金鑰可讓軟體在無需密碼的情況下存取帳戶，一旦外洩，持有者即可趁虛而入。「儲存在 Passport 上的資金安全無虞，Passport 硬體未遭入侵」，Foundation 表示。公司補充，正日夜不懈地查明事件確切經過，並將發布報告——該文件預計將釐清金鑰如何外洩，以及客戶訂單資訊是否被存取。

根據 Foundation 的設定指南，Passport Core 是一款用於儲存金鑰與簽署交易的離線裝置。每筆交易由配對的軟體錢包建立，再由裝置批准。正是這種離線設計，使得此類攻擊行動將目標轉向收件匣，而非硬體本身。

買家表示郵件中包含他們的姓名與地址

X 用戶 @crisisdot 表示，於美東時間晚上 11 時 29 分收到來自 hello@foundation.xyz 的訊息，「稱我的 Passport 資金面臨風險，並要求我轉移至新的恢復短語。」同一用戶表示，incident.foundation.xyz 上的網站也在運作，且 Foundation 的「電子郵件與 DNS 已遭入侵」。

來自收件人的三則貼文——分別來自 @crisisdot、@tayvano_ 與 @CSBastiat——於美東時間晚上 11 時 29 分至 11 時 44 分之間陸續發出，全部早於 Foundation 的官方聲明。

一位客戶表示，郵件提及 2025 年年中的一筆購買記錄，並通過了垃圾郵件過濾器。同一位買家表示，詐騙者似乎掌握了一個收件地址、姓名、子郵件地址與購買資訊。另一位收件人表示，郵件中包含了他們的姓名、地址與電子郵件。

Foundation 尚未說明客戶訂單資訊是否被存取，以及發送者從何處取得這些資料。其隱私政策載明，Foundation 無法找回遺失的助記詞或私鑰，且「絕不會要求您透露這些資訊」。要求轉移至新恢復短語的訊息直接違背了這一指引，因為恢復短語是永遠不需離開裝置的憑證。

Trezor 於 9 月遭逢類似攻擊行動

錢包製造商 Trezor 曾警告用戶，9 月 9 日有透過其第三方電子郵件服務商發送的假「重大安全警示」，Cryptopolitan 報導。一位收件人表示，該訊息通過了 DKIM、SPF 與 DMARC 驗證。Trezor 隨後關閉了用於發送的網域。

Casa 執行長 Nick Neuman 表示，BitBox 用戶似乎也收到類似郵件，一家共用的行銷郵件服務商可能已遭入侵。Trezor 買家名單早在數週前便已外洩：物流夥伴 ShipMonk 遭遇的資料外洩事件暴露了約 80,700 位用戶的姓名、地址、電話號碼、電子郵件與訂單資料。Trezor 表示，沒有任何裝置、私鑰或錢包備份遭到入侵。綜觀 9 月與 10 月的這兩波攻擊行動，顯示硬體錢包製造商正面對一種透過第三方服務——郵件發送、雲端設定、物流——而非裝置本身觸及客戶的威脅。