这回不是仿冒域名，是从官方域名发出来的钓鱼。
比特币硬件钱包 Passport 厂商 Foundation 10月26日官方通报：有垃圾邮件看起来像从自家域名发出；已追溯到被盗的 Cloudflare API 密钥，并全部吊销；邮件里的恶意域名也已下线。公司称 Passport 硬件未被攻破，设备上的资金安全。
CEO Zach Herbert 后续补充：部分后端基础设施因自建应用漏洞被攻入，攻击者很可能摸到了客服邮箱；用户报告后约10分钟内切断发信能力。部分钓鱼信里带有收件人姓名、地址或电话——公司称可能来自客服收件箱、其他加密泄露库，或近期 Shopify 订单，尚未确认整库被拖。正式事故报告待查清后公布；未披露发出多少封、是否有人交出助记词。
硬钱包私钥本来就该离线。真正危险的是：信看起来够真，有人会把助记词填进网页。
以上为公开信息整理，不构成投资建议。