两万三千封钓鱼邮件：Passport 的破口在旧数据库表

硬件钱包出事了，不是芯片，也不是固件。

10 月 25 日深夜，Passport 的厂商 Foundation 发公告：大量看似来自官方域名的钓鱼邮件正发给它的客户，源头指向被泄露的 Cloudflare API key。第二天的数字：超过 23,000 次发送尝试，19,057 封走 Mailgun，1,503 封走 Google Workspace。发件人 [email protected]，正文说”你的 Passport 资金有风险，请立刻迁移到新的恢复短语”。

翻译过来就一句：把助记词给我。

公告里最要命的是”资金安全、硬件未被攻破”。这话没错，但答的不是用户关心的问题。钓鱼要的从来不是设备里的币，是你脑子里那十二个词。设备没被攻破和你的币安全之间，隔着一整个人的判断力。

那他们怎么知道发给谁？订单在后台”看起来已匿名化”，可迁移前那套 WooCommerce 旧表还留着明文——姓名、收货地址、退款记录、没付完款的购物车；5 月搬到 Shopify 后的订单也没手动匿名，自动删除工具当时没开。连投过简历的人都收到了邮件，范围比”客户”更大。

我的看法很直接：“已删除”在公司里往往只是界面状态，不是数据事实。 后台点一下，旧表、备份、导出文件里还躺着。隐私政策写的”X 天后删除”是产品行为，不是一个 DBA 拿 DELETE 语句去清物理表。

那 19,057 封走的 Mailgun 是正经事务性邮件服务商，收件方看到的 SPF、DKIM 全是 pass。攻击者没伪造域名，他借的是信誉。”看发件域名对不对”这条老建议，在这儿基本失效。

给用户三条：主动找上你的”官方”先默认是骗子；固件只从自己手打的域名下载；助记词不出现在任何对话框、任何客服、任何”迁移工具”里。

至于 Foundation，下一份报告我期待的不是”资金安全”，而是哪些字段泄露、影响多少人、什么时候通知。这三件说不清，”正在调查”就只是拖延的另一种说法。

免责声明：以上内容仅供娱乐交流，不构成任何投资建议。DYOR。

#cryptocurrencies #blockchain #pickful