Post

硬件钱包的攻击面，不只在设备里。SafePal 8 月 16 日披露：其订单追踪插件存在授权缺陷，约 39,798 名客户的姓名、邮箱、收货地址、电话和购买详情可能被未授权访问。事件未涉及助记词、私钥、钱包密码或资金访问，但订单数据会把“某人持有硬件钱包”变成可用于定向钓鱼的画像：攻击者知道如何联系、可能寄往哪里，也能借售后、换新或固件提醒伪装。Trezor 同周披露的物流服务商事件也涉及客户身份与收货信息。结论不是“私钥离线就够了”：设备安全、订单系统、物流和客服沟通共同构成安全边界。不要在未经独立核实的来信、短信、电话或信件中提交助记词、私钥或密码；如已因可疑联络输入过助记词或私钥，应把该钱包视为已受影响并迁移剩余资产。信息来源：SafePal 安全公告、CoinDesk、BleepingComputer。#AI #Web3 #MPC #SelfCustody #Phishing