比特币硬件钱包 Passport 开发商 FOUNDATION 近日发布 10 月安全事件复盘报告，披露了一起涉及供应链漏洞利用的深度入侵事件。报告显示，攻击者首先利用 FOUNDATION 自托管的 Cal.com 预约系统中的代码执行漏洞攻破服务器，继而通过连接 HashiCorp Vault 的组件 Bank-Vaults 中的另一漏洞，窃取多项核心服务凭证。最早的未授权活动可追溯至 10 月 21 日。
凭借窃取的凭证，攻击者读取了客户记录、滥用邮件服务商发送钓鱼邮件，并篡改了域名设置。此次钓鱼攻击共尝试发送超 2.3 万次，波及 21,463 个邮箱地址。泄露数据涵盖用户姓名、邮箱、邮寄地址、电话、订单详情、历史客服工单，以及持卡人姓名、银行卡卡号后四位及有效期等部分支付信息（完整卡号未泄露）。
FOUNDATION 强调，Passport 硬件钱包中存储的资金与私钥安全无虞，设备未受影响，无任何召回或换机计划，且官方绝不会索要助记词。然而，已有用户反馈收到冒充官方客服的诈骗电话，对方能精准报出订单与银行卡尾号，以“召回”、“换机”为由诱导受害者交出助记词或转移资产。
针对此次事件，FOUNDATION 承诺将加速推进自托管服务向托管基础设施迁移，并全面收紧各应用系统的访问权限控制。此前，FOUNDATION 于 10 月 27 日发文披露邮件系统异常，彼时已确认超 2.3 万次钓鱼发送尝试及部分个人信息泄露，并表明无证据显示硬件设备或私钥遭窃。
