7萬人資料，交易所沒被駭

7萬人資料，交易所沒被駭

我的立場先擺在這裡：Coinbase 說「我們沒有被駭」的那句話，是真的，也是這個市場最危險的一種真話。10 月 28 日，Coinbase

的支援帳號在社群平台上寫下這句話，說出事的是分析供應商 Amplitude，一小部分客戶的聯絡資料受到影響，Coinbase

自身系統沒有未經授權的存取，客戶資金安全。同一天，韓國交易所 Bithumb 證實內部員工群組軟體遭到未經授權的存取，Daishin

證券通報 38,490 名客戶的個人與信用資料外洩，Mirae Asset

也發現部分網路系統被入侵。四起通報擠在同一天，主角卻不是同一種攻擊。駭客沒有攻破金庫，他們攻的是金庫門口那本登記簿。

數字要先分清楚可信度。SlowMist 的資訊安全長 23pds 轉述匿名帳號的主張，說逾 7 萬名 Coinbase

用戶的聯絡資料被取得，包含電子郵件與電話號碼，Coinbase 沒有證實這個數字，只說是「一小部分」。Daishin 的 38,490

名是公司自己通報的數字，比較扎實。把兩個數字放在一起看，重點不在誰多誰少，而在兩家公司說話的方式：Coinbase

強調系統沒被入侵，Daishin

承認客戶資料外洩。前者談的是邊界，後者談的是後果。用戶在乎的從來不是駭客從哪扇門進來，而是自己的名字、電話與電子郵件是不是已經在別人手裡。一家交易所可以同時「沒有被駭」而且「用戶資料已經外洩」，這正是外包時代的荒謬之處：你的資料住在多少家你沒聽過的公司手裡，你在開戶時根本不知道。

主流分析在這裡有一個盲點。每次資料外洩，評論都去算交易所賠多少錢、股價跌多少，好像損失只會發生在公司的資產負債表上。2025 年 5

月，Coinbase 揭露犯罪集團賄賂海外客服承包商竊取客戶資料，約 6.9 萬名客戶受影響，公司估計賠償與清理成本最高 4

億美元。那次事件的後半段很少人追：拿到資料的人拿資料來冒充客服，一步步把受害者的錢騙走。資料外洩的成本從來不是一次性的，它是一張長期提款單，釣魚信、換卡攻擊、社交工程，會在接下來幾個月輪流上門。交易所的財報認列的是賠償金，用戶付的是之後每一次接到可疑來電時要重新判斷的注意力。去中心化的敘事在這裡也要被檢驗：自託管能解決私鑰被偷的問題，解決不了你在中心化交易所留下的身分資料被第三方供應商外洩的問題。只要你還在用需要身分驗證的交易所，你的資料就住在別人家。

這件事對台灣投資人的傳導路徑很具體。釣魚訊息不分國籍，繁體中文的釣魚信做得比英文的更像真的，因為模板早就本地化了。行動框架只有三件，而且要在今天做，不必等

Coinbase 公布名單。第一，檢查你註冊交易所用的電子郵件是不是也用在別的地方，是的話就換成專用信箱，密碼也要換成獨立的一組。第二，把簡訊驗證換成驗證器

App 或硬體金鑰，電話號碼外洩之後，簡訊驗證碼是最先被盯上的環節。第三，交易所、客服與供應商都不會用電話或訊息向你要助記詞與驗證碼，任何自稱

Coinbase 來電要求你「配合驗證」的人，先掛斷再說。資料已經外洩的人無法把資料收回來，能收回來的只有攻擊者利用資料的每一條路。

Coinbase 正在通知受影響的客戶，Amplitude 至今沒有公開聲明，Bithumb

還在確認客戶資料是否受影響。這些未完成的事項，就是接下來一週要盯的變數。如果你的信箱裡出現一封長得很像 Coinbase

的信，問你要不要點連結確認帳戶，請先記住這篇文章的第一句話：交易所沒有被駭，你的資料還是外洩了。信任不該建立在誰的系統沒被入侵，而該建立在誰能證明你的資料只住在它自己手裡。在那之前，每個用戶都要自己當最後一道防線。

如果你覺得這篇對你有用，請在文末點 LikeCoin 讚賞，讓更多人看到資料外洩真正的成本不在交易所的財報上，而在每一個用戶的收件匣裡。