上周，对加密货币交易所Coinbase（COIN）的高度组织化的攻击留下了更多的问题而非答案。

虽然一些人称赞Coinbase的应对措施是处理危机的“一个非常好的例子”，但此次泄露现在引发了一个潜在的巨大隐私问题，这与2021年的Ledger数据泄露相似——这导致了一系列现实世界的抢劫事件，因为罪犯能够获取加密货币持有者的姓名和地址。Coinbase已经承认，由于此次泄露，其客户可能损失了近五亿美元。

网络犯罪分子通过贿赂和说服Coinbase的支持员工分享用户数据，但根据多位接受CoinDesk采访的专家的说法，这完全是可以预防的。

“一个安全的系统将使数据盗窃在技术上变得不可能，但Coinbase显然没有优先考虑这些措施，留下了大门敞开，”区块链安全公司BlockSec的联合创始人Andy Zhou告诉CoinDesk。

允许这些罪犯访问个人数据，无论是通过黑客攻击还是在这种情况下的社会工程，都是对一个每天处理数十亿美元交易的交易所的重大污点。这次泄露造成了无数问题，包括用户隐私和信任。作为一家上市公司，Coinbase怎么能允许攻击者通过正门窃取个人信息和资金？这是否可以被预防？

Hackett Communications的首席执行官Heather Dale称赞Coinbase的反应是“沟通的典范”，但Coinbase处理问题的方法很简单：尽可能多地投入资金。

该交易所为任何提供信息以导致逮捕或起诉的人提供了2000万美元的漏洞赏金。它还承诺自愿向受影响的用户赔偿1.8亿到4亿美元。

发生了什么？

在分析泄露的后果之前，了解这家每月在安全基础设施上花费数百万美元的上市公司是如何发生泄露的非常重要。

在2月份，链上侦探ZachXBT报告了涉及Coinbase用户的盗窃事件上升。他表示，这是“由于激进的风险模型和Coinbase未能阻止其用户每年因社会工程诈骗损失3亿美元”。

上周，当Coinbase发布一篇博客文章，揭示账户余额、政府身份证图像、电话号码、地址和掩码银行账户详情被盗时，网络犯罪分子盗取数亿美元的恐惧成为现实。

与其他黑客攻击和泄露不同，这些攻击者是通过正门进入的——直接与Coinbase员工沟通，并通过内部人员购买访问信息的权限。Coinbase声称已当场解雇所有责任员工，尽管它没有在博客文章中透露用于查找责任人的方法。

然而，这个问题并不仅限于加密货币。在2022年，数字银行Revolut确认有50,000份客户数据被盗，而一年后，交易平台Robinhood则有多达500万封电子邮件地址泄露。后者在泄露后被美国证券交易委员会罚款4500万美元，因为部分客户的账户被攻击者清空。

BBC在10月报道称，一名Revolut用户在数据泄露后损失了165,000英镑（220,000美元），而该新银行的欺诈检测系统在2023年阻止了4.75亿英镑的欺诈交易。

Coinbase的竞争对手Binance和Kraken表示，他们在最近几周成功抵御了类似的社会工程攻击。

Coinbase首席执行官Brian Armstrong上周在X上发布了一段视频，表示他收到了价值2000万美元比特币的“赎金通知”，以换取这些攻击者不公开他们声称获得的关于Coinbase客户的一些信息。

ZachXBT在周四补充说，攻击者开始通过在Thorchain上将BTC兑换为ETH来模糊被盗资金的来源，Thorchain是臭名昭著的朝鲜黑客Lazarus Group常用的场所。

“重大警钟”

区块链安全公司BlockSec的联合创始人Andy Zhou告诉CoinDesk，Coinbase应该对处理敏感数据的员工进行“更严格的背景审查”，并设置“奇怪活动的警报”，例如有人突然下载数千个客户档案。

Zhou补充说，Coinbase应该实施几种技术解决方案。这些包括严格的基于角色的访问控制，意味着员工只能看到必要的数据，或者隐私工具，允许在不暴露原始细节的情况下工作（例如，模糊身份证照片）。

Swimlane的首席安全自动化架构师Nick Tausek告诉CoinDesk，这次泄露应该是对强大内部威胁检测的“重大警钟”。

“随着外包规模的扩大和运营跨越时区，内部威胁检测和访问治理不能是事后考虑。一个拥有正确访问权限的内部人员，或者在这种情况下，错误的激励，可以在即使是最坚固的安全态势中打一个洞。因为，正如这次泄露所示，只有1%的客户被泄露就足以让100%的头条新闻。”

然而，并不是每个人都在指责Coinbase。

MatterFi的首席执行官Michal Pospieszalk表示，这“不是Coinbase的问题，而是自第一天起就困扰加密货币的系统性漏洞。”

他认为，发送加密货币而不通过中介的性质意味着所有平台都离灾难只有一步之遥。

黑客需要制造一种情况，能够欺骗用户将他们的资金发送到不可逆转的交易中。在Coinbase的案例中，攻击者通过一名叛变员工获得了个人可识别信息。

根据Pospieszalk的说法，根本问题在于用户不知道他们是否将资金发送给正确的收款人，并补充说，加密货币依赖于一种“相信我，兄弟”的身份验证模型，这种模型是不可持续的。

接下来会发生什么？

Coinbase表示，它将自愿向在此次泄露中损失资金的客户进行赔偿，并将继续与执法部门合作，抓捕相关责任人。但对于用户来说，这条路更加黑暗。

该交易所周三在一份监管文件中表示，此次泄露影响了69,461名客户。文件还指出，泄露发生在2024年12月，Coinbase直到5月15日才发现。

这些细节现在已经在互联网上流传，甚至可能在暗网和可疑的Telegram群组中出售。在Ledger泄露事件后，客户信息被发布在Raidforums上，这是一个恶名昭著的数据共享平台，这导致了网络钓鱼尝试的增加。

不幸的是，Coinbase无法阻止这些泄露信息的传播，受影响的用户只能尽可能地采取保护措施。这些措施包括更换钱包、更改交易所的存款地址，甚至更改家庭地址以避免现实世界中的抢劫风险。社保号码泄露的用户还应锁定其信用，以防身份盗窃。

这可能会很麻烦，但正如今年早些时候在Ledger联合创始人David Balland被绑架未遂事件（以及过去几周内其他几个人）中所见，犯罪分子不会停止，直到他们提取到最大金额的资金，即使这意味着施加残酷的暴力行为。

这也引发了一个潜在的法律问题：如果由于数据泄露而导致Coinbase客户被抢劫或袭击，Coinbase是否会承担责任？Ledger在今年早些时候未能逃脱一项提议的集体诉讼，原告声称Ledger违反了其隐私政策，应该采取措施防止泄露。

加密研究员Molly White还指出，Coinbase在4月更改了其用户协议，增加了两条限制集体诉讼的条款，并要求诉讼在纽约提起，这些更改在5月15日生效，正是泄露被宣布的同一天。

Coinbase对CoinDesk回应了White的说法，表示该交易所“提前通知了客户用户协议的变更”，并且已经有“多年的集体诉讼豁免”。

然而，Coinbase并未对泄露是否可防止或将如何保护可能面临现实世界抢劫风险的客户的问题发表评论。

阅读更多：分析师称市场对Coinbase黑客事件的反应“被夸大”，SEC调查导致股价下跌

免责声明：本文章仅代表作者个人观点，不代表本平台的立场和观点。本文章仅供信息分享，不构成对任何人的任何投资建议。用户与作者之间的任何争议，与本平台无关。如网页中刊载的文章或图片涉及侵权，请提供相关的权利证明和身份证明发送邮件到support@aicoin.com，本平台相关工作人员将会进行核查。