自有域名发出钓鱼邮件后,Foundation吊销全部Cloudflare API密钥

假冒召回邮件波及Passport持有者

星期一凌晨,硬件钱包厂商Foundation切断了一起针对自身客户的钓鱼行动。该公司在X上确认,垃圾邮件正是从其官方域名发出的,入侵源头指向一枚或多枚泄露的Cloudflare API密钥。该公司的X声明开头说得很直接:垃圾邮件的发件人显示为Foundation官方域名,随后列出处置措施,API密钥已全部吊销,邮件中涉及的恶意域名也已下线。Foundation同时强调,Passport这款仅支持比特币的硬件钱包内的资金安全,硬件本身未被攻破。Passport把授权转账的私钥保存在离线状态,一封宣称设备已被污染的邮件,打的就是这个假设。这批邮件于10月25日星期日送达,标题挂着紧急召回字样,声称供应商篡改了显示模块,攻击者正在清空受影响设备中的资金,并催促收件人不要等更换。邮件内嵌链接指向foundation.support,一个仿冒Foundation配套应用Envoy的假网站。页面显示一个空钱包和一个充值按钮,布局刻意诱导访客把比特币(BTC)转入攻击者控制的地址,往往正是持有人打算长期冷囤的币。这套说辞设计得让人容易相信:2026年以来,硬件钱包遭篡改的传闻不断流传,一封看似来自厂商的供应链警报自然显得可信。Foundation按照比特币至上主义的传统把Passport做成严格的单币种设备,其客户属于更大的比特币生态中的自托管群体,也正是假召回最想吓到的人群。对这样的用户来说,召回通知等于对储蓄的直接威胁,不是随手可删的垃圾邮件。公告在邮件送达买家的次日早晨上线。

客户数据从何而来仍是疑问

吊销密钥解释了邮件如何发出,却解释不了发件人为何知道谁持有Passport。多名收件人在声明下回复称,泄露的API密钥无法解释邮件里的个人信息:姓名、电话和住址。一位用户报告,邮件来自jobs@foundation.xyz,这是Foundation真实域名下的地址,内容带有其全名,以及与两年前购买的钱包绑定的邮寄地址。另一位用户说,邮件流传着两个版本:老客户收到的信息包含完整订单详情,而曾投过简历的求职者只收到姓名。Foundation自己的历史让这个问题更尖锐。2022年,该公司在X帖文中表示,为限制第三方风险,其客服聊天系统和邮件营销工具均为自托管,并称客户数据在订单发货60天后删除。如今这两条承诺都成了待解的问题,因为星期日的邮件携带的是多年前发货订单的投递数据。Foundation尚未说明其客户数据库是否被入侵,只表示将尽快发布完整报告。数据泄露的影响超出这一次行动。此前的客户数据泄露之后,Ledger买家曾通过邮局收到假冒信函,威胁从收件箱蔓延到家门口。CertiK预计,针对持币人的物理胁迫(俗称扳手攻击)在2026年可能创纪录,而一份住址与硬件钱包持有人对应的名单,正是这类犯罪所需的目标清单,无论持有人是加密巨鲸还是普通买家。

公告留白之处

我们梳理第一手记录,也就是Foundation在X上的自身声明后认为,公司回答了投递问题,却把数据问题留在悬置状态。公告说明了邮件如何发出,并确认假网站已经下线,但没有解释攻击者如何把姓名、电话和住址与这一特定设备的持有人一一对应,也没有说明公司声称发货60天后删除的记录,是否实际超期留存。现有记录没有任何内容指向重放攻击或Passport签名硬件被攻破;已报告的风险集中在身份数据,不在设备本身。星期一终结的是假召回网站,随之浮出水面的是一份证据:多年前发货订单的投递信息仍在流通。Foundation承诺的完整报告,是下一个需要盯住的节点。