硬件钱包制造商 Foundation 披露，其系统遭入侵后，攻击者取得客户资料，并尝试通过公司真实邮箱发送钓鱼邮件，随后利用购买及支付信息致电客户，诱骗其交出比特币钱包助记词。Foundation 称，Passport 设备中存储的资金安全。
客户资料被用于邮件与电话诈骗
此次入侵始于10月21日。攻击者先利用 Foundation 自托管 Cal.com 预约软件中的漏洞，再借助 Bank-Vaults 的另一处漏洞窃取凭证，进而访问客户记录、邮件系统和域名设置。
10月25日，攻击者尝试从 Foundation 的真实邮箱地址发送超过2.3万封钓鱼邮件，目标为21,463个电子邮箱地址。这两个数字分别指尝试发送的邮件数量和目标邮箱数量，不能据此认定邮件全部送达，或所有目标均已受骗。
泄露资料包括姓名、家庭住址、电话号码、订单记录、客服通信及部分支付卡信息。诈骗者随后利用窃取的购买及支付信息致电客户，索取钱包助记词。
设备资金安全与客户诈骗风险需分开判断
这起事件的关键风险在于，真实发件地址与购买、支付细节可以共同增强冒充身份的可信度。因此，来信地址属于 Foundation，或来电者能够说出订单信息，都不足以证明索取助记词的请求可信。客户资料泄露已被用于诈骗，但这与硬件钱包本身被攻破是不同层面的风险。
Foundation 表示，员工账户和设备未受侵害，Passport 设备中存储的资金安全；公司还计划减少自托管基础设施，转向托管服务。这是其披露的后续调整方向，尚不能视为迁移已经完成。
