詐騙者寄出印有 Trezor 與 Ledger 品牌的信件並附上 QR 碼，以釣取硬體錢包的 seed

一個協調的釣魚攻擊活動使用專業製作的實體郵件冒充硬體錢包廠商 Trezor 與 Ledger，誘騙使用者交出復原種子（recovery seed）。信件包含看似官方的抬頭、全息圖、偽造簽名與導向克隆「驗證」網站的 QR 碼。信中聲稱強制性安全更新或有時限的「驗證/交易檢查」，製造緊迫感以促使收件者掃描 QR 碼並輸入 12/18/24 字的復原種子 — 這類資料錢包供應商從不會要求。研究人員已在社群平台發布範例；攻擊者可能利用過去的資料外洩（Ledger 2020 年事件與合作夥伴洩漏，及 Trezor 的 MailChimp/客服入口曝光），取得電子郵件、郵寄地址、電話號碼與裝置所有權證明。此為從僅限電子郵件的釣魚升級為高可信度、多通道社交工程（實體郵件、簡訊、仿冒應用程式），可繞過電子郵件過濾並以 QR 碼掩蓋惡意 URL。對交易者與硬體錢包持有者的建議防護：絕不要在網站或應用輸入你的 seed phrase；透過官方廠商網站驗證任何通知；避免掃描未經請求的 QR 碼；啟用並使用可選的 passphrase；並遵循廠商公告。市場相關性：此威脅主要為使用者層級（錢包被洗劫），非協議漏洞。然而，若社交工程偷竊持續成功，可能侵蝕散戶信心、增加被盜資產清算所致的賣壓，並提高受影響代幣的短期波動性。主要關鍵詞：hardware wallet phishing、Trezor、Ledger、seed phrase、QR code scam。次要關鍵詞：hardware wallet security、data breach、recovery seed、crypto phishing、wallet safety。