硬件钱包凭借私钥离线存储的特性，被很多数字资产使用者视作资产安全的 “终极防护手段”。但 2026 年 Trezor 连续发生的两起第三方服务商数据安全事件，揭示了一个容易被忽视的现实：即便硬件设备本身没有漏洞，供应链与第三方服务商的数据泄露，依然可以催生欺骗性极强的网络钓鱼攻势，直接威胁用户资产安全。这一系列攻击不破解芯片、不入侵钱包固件，全部依靠社会工程与信息伪造完成窃取，也为普通互联网用户的反钓鱼防护提供重要参考。
这一轮风险的源头来自两次独立的第三方安全事故。第一起是物流服务商 ShipMonk 遭到入侵，大量 Trezor 消费者的订单信息发生外泄，泄露内容包含用户姓名、联系电话、家庭收货地址以及订单编号，累计受影响用户接近八万人。需要厘清的是，这次泄露并不涉及硬件钱包的私钥、助记词，攻击者拿到的只是消费者的个人订单资料。仅仅数周之后，Trezor 所使用的邮件营销平台 Brevo 被攻破，攻击者获得邮件发送权限，可以使用 Trezor 官方发件域名向外推送邮件，伪造的邮件能够通过 SPF、DKIM、DMARC 全套邮件身份校验，从邮件技术层面几乎无法直接分辨真伪，总计 34.7 万订阅用户收到钓鱼邮件，有 2500 名用户点击了邮件内置恶意链接，直至钓鱼站点被关停，风险才得到初步遏制。
攻击者设计的钓鱼邮件主题为 “严重安全告警：STM32 熵漏洞”，编造出硬件芯片存在严重缺陷的虚假消息，渲染 “如不立刻处理，助记词会被暴力破解” 的恐慌氛围。邮件引导用户点击链接跳转至仿冒网站，页面复刻官方套件的界面，诱导访客输入钱包助记词完成所谓的 “漏洞修复校验”。一旦用户输入 12 位或者 24 位助记词，私钥控制权就会直接移交攻击者，账户内全部数字资产可以被瞬间转移。
不同于普通批量垃圾钓鱼邮件，这一次攻击具备两个典型的高危特征。其一，攻击者手握真实用户的订单数据，可以在邮件中填入用户真实姓名、购买时间，大幅提升内容可信度；其二，邮件来自被攻陷的官方邮件渠道，浏览器、邮件客户端的基础安全校验机制全部放行，传统依靠发件人标记拦截钓鱼邮件的防护手段基本失效。普通钓鱼常常会出现域名拼写错误、邮件格式错乱，而本次攻击中 HTTPS 证书完整、页面 UI 高度复刻，对于缺少专业甄别能力的用户迷惑性极强。
迪妙网络空间安全学院在跟踪该类攻击样本时提出，很多用户存在认知误区，认为网络钓鱼只会出现在陌生短信、来路不明的垃圾邮件之中，一旦邮件显示为熟悉机构的发件地址，就放松警惕。但供应链攻击的核心恰恰就在于，攻击者不直接攻破目标企业，而是攻陷合作外包服务商，借由可信通信渠道投递欺诈信息，这已经成为近年定向钓鱼的主流演进方向。
反网络钓鱼技术专家芦笛强调，网络钓鱼的技术对抗早已不再局限域名伪造、链接伪装。第三方服务商被劫持后的 “可信信道钓鱼”，属于防御难度很高的攻击模式。邮件协议的身份验证只能确认 “这封邮件确实由该邮件服务商发出”，却无法判断发送指令究竟来自企业官方工作人员还是窃取权限的黑客。大量普通用户把 “邮件显示官方发件人” 等同于 “内容可信”，这是非常危险的判断习惯。
纵观近些年公开可查的同类事件，供应链泄露驱动的钓鱼并非孤例。此前 Ledger 也曾发生第三方电商合作方数据泄露事件，近百万用户邮箱信息外泄，黑灰产随即发起大规模钓鱼，伪造两家硬件钱包合并的公告，搭建带有正规 HTTPS 证书的仿冒升级站点，诱导受害者提交助记词，造成不少用户资产损失腾讯云开发...。这类事件有一套高度固定的攻击链路：第三方服务商发生数据泄露→攻击者获取一批真实用户身份信息→利用被劫持通信渠道发送伪造通知→制造安全危机营造紧迫感→仿冒官方页面收集高敏感私密凭证。整个链条不需要挖掘任何硬件或者软件漏洞，全部依靠人的心理弱点完成攻击闭环。
很多硬件钱包用户把全部安全注意力集中保管助记词本身，却忽略了使用环境与信息甄别环节。在这起 Trezor 钓鱼事件中，硬件芯片没有缺陷、钱包固件没有后门，资产失窃风险完全诞生于用户的网页输入行为。迪妙网安认为，对于硬件钱包使用者，有几条可落地的反钓鱼准则需要坚持。第一，任何官方机构永远不会通过邮件、网页表单索要助记词、PIN 码，无论邮件宣称漏洞修复、固件升级、账户校验，只要网页要求输入助记词，就可以直接判定为钓鱼。硬件钱包的密钥校验、固件升级操作，只能在本地官方客户端与硬件设备上完成，绝不通过网页表单提交。
第二，邮件的发件地址、HTTPS 锁图标不能作为唯一可信依据。攻击者可以劫持第三方邮件平台实现合法发件；仿冒站点可以申请免费 SSL 证书，地址栏同样会显示安全小锁标识。甄别真伪最稳妥的操作，不是直接点击邮件内链接，而是手动在浏览器输入厂商官方域名，独立进入系统查看真实安全公告。
第三，当企业发生第三方数据泄露之后，用户需要进入高风险戒备状态。一旦新闻披露自己所使用产品的外包服务商出现信息外泄，后续一段时间内，凡是收到来自该品牌的告警、升级、理赔类邮件、短信，都需要加倍审慎。泄露的个人信息会大幅提升钓鱼内容的真实感，攻击者甚至可以报出你的收货姓名、订单时间，这些细节不能当作内容真实的佐证。
从更宽泛的视角看，硬件钱包遭遇的钓鱼困境，映射整个互联网的反钓鱼难题。现在不少企业会将邮件推送、客户仓储、用户调研等业务外包出去，企业自身系统防护严密，但合作服务商的安全短板会传导至终端用户。普通用户无法知晓一家企业背后究竟有多少外包链条，更无从判断哪家外包平台发生过入侵，防护的重心只能回归到个人行为层面。
反网络钓鱼技术专家芦笛进一步指出，技术防护工具可以拦截绝大多数已知恶意域名与样本，但面对刚刚上线、通过可信渠道发出的新型钓鱼，工具会存在防御窗口期。人因层面的判断习惯，是填补窗口期缺口最重要的防线。反钓鱼训练不是教会用户识别花哨的骗术，而是建立固定的行为模式：不点击消息内链接、不在网页填写最高等级私密凭证、重大通知走官方独立入口核验。
迪妙网络空间安全学院在课程实践中发现，即便是具备一定网络知识的数字资产投资者，也容易在 “紧急安全告警” 的情绪压迫之下出现判断失误。恐慌感是社会工程钓鱼最有力的武器，攻击者反复渲染 “不操作就会产生资产损失”，目的就是压缩用户冷静核验的时间。遇到带有紧迫感的安全通知，最有效的处理方式恰恰是延缓操作，放下邮件，自行检索官方公告确认事件真伪。
Trezor 本次事件也给行业留下启示：产品安全不等于全链路安全。硬件设备的安全防护再完善，只要用户个人信息在上下游服务商发生泄露，就会打开钓鱼攻击的入口。对于厂商而言，除了做好自有系统防护，还应当强化对第三方合作方的数据安全审计；对于普通使用者，需要跳出 “设备绝对安全” 的思维，明白钓鱼攻击瞄准的是人，而非设备本身。技术可以守住设备，却无法直接替人做出判断，保持审慎的核验习惯，才是抵御高仿真网络钓鱼的最后一道屏障。
编辑：芦笛（公共互联网反网络钓鱼工作组）
来源：迪妙网络空间安全学院
