每經記者｜蔡鼎(ding)    每經編輯｜蘭(lan)素(su)英    

美東時間5月15日（周四），全美最大的加密貨幣交易所Coinbase披露稱，網絡犯罪分子賄賂了其海外客服人員竊取客戶數據，以實施社會工程攻擊。

根據Coinbase的初步估算，這次事件可能帶來的費用和客戶賠償總額在1.8億美元至4億美元之間。Coinbase在(zai)文件中表示，“由于公司目前仍在(zai)進行調查，因此事件的全部影響尚未(wei)確定。”另外，執法(fa)部門已介入調查此事。

這是自今年2月份Bybit遭遇史上最大規模的黑客攻擊以來，全球又一知名加密貨幣交易所發生安全漏洞。受此影(ying)響，Coinbase周(zhou)四大跌7.2%，市值一個交易日內(nei)蒸發(fa)48億美元。

而且，此(ci)次(ci)數據泄(xie)露事件發生(sheng)之際，正值Coinbase即將被納入(ru)標普500指數之際，這(zhe)一(yi)變動(dong)將于5月19日(ri)交易開始前(qian)生(sheng)效。

亞洲數字資產金融服務集團Hashkey Group首席分析師丁肇飛對《每日經濟新聞》記者指出，此次事件暴露了加密貨幣交易所面臨的多重安全挑戰，尤其是在內部信任體系建設和新技術應用方面。

他指出，（交易所）內部信任體系方面，需落實“最小權限原則”，高敏感數據須獨立存儲并多重授權。另外，交易所需要探索更先進的隱私保護技術，“例如，通過AI分析員工和用(yong)戶的行(xing)為模式。”

圖片來源：視覺中國-VCG41N1309760279

Coinbase自曝數據泄露，損失或高達4億美元！市值一日蒸發48億美元 

當地(di)時間5月(yue)15日(ri)，Coinbase公開披露了一起嚴重的數據泄露事件。

該(gai)公司在提交給美國證(zheng)監會（SEC）的(de)文件中稱，其(qi)于5月11日收到(dao)一(yi)封郵件，發件人(ren)稱已獲取部(bu)分(fen)Coinbase客(ke)戶賬戶信息及(ji)其(qi)他內(nei)部(bu)文件。被泄露的(de)數據(ju)(ju)包括姓名和(he)聯系(xi)方式、部(bu)分(fen)社(she)會安(an)全(quan)號碼和(he)銀行賬戶識別信息、政府(fu)身份證(zheng)照(zhao)片，以及(ji)某(mou)些公司和(he)賬戶數據(ju)(ju)。

Coinbase沒有透露有多少客戶信息被訪問，僅表示受影響的用戶數量不到總用戶的1%。公司預計，此次事件將導致1.8億至4億美元的損失，主要用于客戶賠償、系統修復和安全加固等方面。Coinbase承諾將全額賠償受影響用戶的損失，并已與執法部門展開合作，追查攻擊者的身份。

令人震驚的是，Coinbase表示，網絡犯罪(zui)分(fen)子還賄賂了其海(hai)外客服人員竊取客戶數據(ju)，以實施社會工程攻擊(ji)。其目(mu)標是收集一份可(ke)以聯系(xi)的客戶名單，同時假裝(zhuang)是Coinbase，欺(qi)騙(pian)客戶交出加密貨(huo)幣。

該公司在一(yi)篇博客(ke)文章中稱，“網絡犯(fan)罪分子賄賂并招募了一群海外(wai)客(ke)(ke)服人員，竊取(qu)Coinbase客(ke)(ke)戶數(shu)據以協助社(she)會工(gong)程攻擊(ji)。這些內部(bu)人員濫用對客(ke)(ke)戶支(zhi)持(chi)系統的(de)訪問(wen)權(quan)限，竊取(qu)了一小(xiao)部(bu)分客(ke)(ke)戶的(de)賬戶數(shu)據。沒有密碼、私鑰或資金泄露(lu)，Coinbase Prime賬戶也未受(shou)影響。對那(nei)些被騙向攻擊(ji)者轉款的(de)客(ke)(ke)戶，我們將(jiang)賠償其損失(shi)。”

而后，網絡犯罪分子要求Coinbase支付2000萬美元的比特幣贖金，否則將公開這些數據。對此，Coinbase表示拒絕，同時提供了2000萬美(mei)元的(de)獎(jiang)勵(li)，以獲(huo)取(qu)有關犯(fan)罪者的(de)信息。

受此影響，Coinbase周四大跌7.2%，市值一個交易日內(nei)蒸發(fa)48億(yi)美元(yuan)。截至發(fa)稿(gao)，Coinbase股價盤前上漲(zhang)1.48%。

《每(mei)日經(jing)濟(ji)新聞(wen)》記者(zhe)注意到，此次(ci)數據泄露(lu)事件發生之際，正值Coinbase即將迎來(lai)一項(xiang)里(li)程碑式的(de)成就。

5月13日，根據標普道瓊斯指數公司的新聞稿，Coinbase將(jiang)被納入(ru)標普500指數(shu)，這一變(bian)動(dong)將(jiang)于(yu)5月19日(ri)交易開始前生效。而在這一消息公布前，Coinbase宣布計劃以(yi)29億美元收(shou)購全球最大的(de)比特幣和以(yi)太坊期權交(jiao)易所Deribit，這(zhe)是加密貨(huo)幣行業歷史上(shang)最重要的(de)收(shou)購之一。

在(zai)上周的(de)財報電話會議上，Coinbase CEO Brian Armstrong表示，希望在(zai)未(wei)來5至10年內將Coinbase打(da)造(zao)成“全球第一的(de)金融服務應用程序”。Oppenheimer分(fen)析師隨后將其對(dui)Coinbase的(de)目(mu)標(biao)價預測從269美元上調至293美元。

但此次攻擊暴露了Coinbase在內部安全管理方面的漏洞。此外，Coinbase還面臨美國證券交易委員會（SEC）的調查(cha)，涉及其在(zai)2021年上市前披露(lu)的用戶(hu)增長指(zhi)標“已(yi)驗證用戶(hu)”數據的準(zhun)確性。

加密貨幣安全如何保障？

過去多年(nian)，加密貨幣(bi)生(sheng)態(tai)系統遭受了(le)無(wu)數(shu)的(de)(de)黑客攻擊，這些攻擊常常導致毀滅性的(de)(de)損失。早(zao)期的(de)(de)交易所(suo)特別(bie)脆弱，因為安(an)全措施相對薄(bo)弱，且基礎設施不夠健全。隨(sui)著(zhu)行業(ye)的(de)(de)成熟，黑客們(men)調整(zheng)了(le)他們(men)的(de)(de)策略，針對智能合約(yue)、錢包和(he)去中心化金融(rong)（DeFi）平臺(tai)中的(de)(de)弱點。這種戰術的(de)(de)演變凸顯了(le)網絡犯罪(zui)分子和(he)安(an)全專業(ye)人員之(zhi)間(jian)的(de)(de)持續軍備競(jing)賽(sai)。

例如，2014年(nian)的(de)(de)Mt.Gox交(jiao)易(yi)(yi)所(suo)崩盤事件(jian)，當時(shi)黑客利用系統漏(lou)洞進行(xing)“雙(shuang)花攻擊”，盜(dao)取交(jiao)易(yi)(yi)所(suo)存(cun)儲(chu)的(de)(de)價值(zhi)4.73億(yi)美元的(de)(de)比特幣(bi)，暴露了中心化交(jiao)易(yi)(yi)所(suo)的(de)(de)存(cun)儲(chu)和管理缺陷；2018年(nian)年(nian)初，日本(ben)最大的(de)(de)數字貨幣(bi)交(jiao)易(yi)(yi)機構(gou)之一Coincheck遭遇黑客攻擊，導致其(qi)損(sun)失5.34億(yi)美元的(de)(de)虛擬(ni)資產(chan)。

研究公司Chainanalysis的一份報告顯示，2024年全年，全球被盜的加密貨幣資金總額就達到22億美元。

今年2月下旬，全球知名加密貨幣交易所Bybit遭遇史上最大規模的黑客攻擊，分析師估計此次損失接近15億美元，超過了2021年Poly Network遭受的6.11億美元盜竊，成為加密貨幣行業歷史上最大的盜竊事件。

北大法學院國際經濟碩士俞文秀曾指出，對于虛擬貨幣發行人來說，提供交易和服務平臺的安全風險主要來源于三方面——外部的黑客襲擊、內部人員或內外勾結的虛擬破壞，以及計算機系統本身出現的故障。而此次Coinbase的漏洞便是典型的內外勾結。

Hashkey Group首席分析師丁肇飛對《每日經濟新聞》記者指出，從內部信任體系的角度看，此次Coinbase事件凸顯了內部人員賄賂導致數據泄露的風險：“無論是技術崗位還是非技術崗位的所有層級員工，都必須嚴格遵循‘最小權限原則’。尤其(qi)是高敏感度(du)數據，如客戶身份證照(zhao)片、社會(hui)安全號碼(ma)等，必(bi)須與賬戶操(cao)作(zuo)數據嚴格隔(ge)離，訪問需經過多(duo)重授權流程。此外，交易所(suo)還需建立實(shi)時行為監控機制，自動識別(bie)異(yi)常訪問行為，并定期(qi)審計權限使用(yong)情況，確保沒有被濫用(yong)或擴(kuo)大(da)。”

從技術層面看，丁肇飛認為，此次泄露涉及客戶身份證照片、社保號等高敏感信息，傳統的冷熱錢包分離和多重簽名等安全措施在應對新型社會工程攻擊時顯得力不從心。因此，交易所需要探索更先進的隱私保護技術。

“傳統安全措施仍然是基礎，但需要與更動態、更智能的安全策略結合。例如，通過AI分析員工和用戶的行為模式，可以識別潛在的社會工程攻擊跡象，尤其是在客服與用戶的交互中，盡早發現并阻止可能的釣魚行為。同時，動態身份驗證機制結合用戶行為、生物識別等多因素驗證方式，可以(yi)有(you)效提高(gao)身份驗證的安全性(xing)。”丁肇飛對記者補(bu)充道。

免責聲明(ming)：本文內容與數據(ju)僅供參考，不構成投資建議，使(shi)用前請核實。據(ju)此操作，風險(xian)自擔(dan)。

封面圖片來源：視覺中國-VCG41N1309760279