作者：Zhou，ChainCatcher

 

Bitget 被盗近 3.9 亿美元的余波尚未平息，一场围绕 Coinbase 的争议又把交易所安全推回舆论中心。

9 月 26 日，X 用户 kuno 发帖称 Coinbase 一年前锁定其账户并称仍欠 120 万美元，要求 Coinbase 在 24 小时内解决，否则将公开会议录音并诉诸法律。

Coinbase Base App 负责人 Cobie 回应称，未找到与描述相符的账户，怀疑这是在博取关注。他表示，Coinbase 过去半年多的联系和他本人的私信均未得到该用户回复，事件正被用来推广垃圾币，看起来完全是一份虚假的诈骗报告，目的是刷互动。

随后，加密资产管理公司 BlockTower Capital 创始人 Ari Paul 留言称，Coinbase 几年前导致其公司损失 2500 万美元，事后发现 Coinbase 实际上在掩盖大规模且反复发生的黑客攻击，相关资金至今未归还。

他表示，团队已追踪到至少十余家受影响机构，涉及金额超过 10 亿美元，由于多项法律程序仍在进行，目前只能披露这些。

截至发稿，Ari Paul 未公开可核实的证据材料，Coinbase 亦未作出公开回应。不过，这条指控在社区迅速扩散，不少用户称自己也曾在 Coinbase 遭遇资金损失。这与 Coinbase 过去几年的几起安全事件不无关系。

 

从短信漏洞到客服内鬼，Coinbase 的旧账

2021 年 10 月初，Coinbase 向部分客户寄出一份数据泄露通知信。根据其提交至美国加州总检察长网站的通知信，当年 3 月至 5 月 20 日期间，至少 6000 名客户的账户被盗。

通知信显示，攻击者需要事先掌握受害者的邮箱、密码和手机号，并能登录其个人邮箱，再利用 Coinbase 短信账户恢复流程中的一处缺陷获取双重验证码，进入账户转走资金。

Coinbase 发言人表示，公司已立即修复漏洞，并协助客户恢复账户、赔付损失。但据 CNBC 报道，在通知信发出之前，已有用户抱怨账户被清空长达数月，Coinbase 也因反应迟缓受到批评。

四年后，类似的时间差再次出现。2025 年 5 月 11 日，Coinbase 收到一封勒索邮件，对方展示了已获取的内部信息，要求支付 2000 万美元换取保密。

Coinbase 随后在官方博客中披露，犯罪分子收买并招募了一批海外客服人员窃取客户数据，用于实施社会工程攻击。根据其向缅因州总检察长提交的申报，约 6.95 万名客户受影响，泄露始于 2024 年 12 月 26 日前后。Coinbase 表示密码、私钥、资金和 Coinbase Prime 账户均未受影响。

Coinbase 拒绝支付赎金，转而设立 2000 万美元悬赏。根据其向美国证券交易委员会提交的文件，此事的成本预计在 1.8 亿至 4 亿美元之间。

CEO Brian Armstrong 表示，涉事人员当时已被解雇，但直到此次才把这些事件串联为同一场攻击。据路透社援引知情人士报道，Coinbase 早在 2025 年 1 月就已获悉，外包商 TaskUs 在印度的一名员工用个人手机拍摄工作电脑上的客户数据。

然而，律师 Ariel Givner 在 X 上指出，勒索邮件早在 5 月 11 日就已发出，而 Coinbase 直到决定拒付赎金后才通知用户。

冒充 Coinbase 的诈骗并未就此停止。据纽约布鲁克林地区检察官办公室通报，当地男子 Ronald Spektor 冒充 Coinbase 客服，称用户账户遭黑客入侵、资产面临风险，诱导约 100 名用户把加密资产转入他控制的钱包，累计骗取约 1594 万美元。他于 9 月 2 日认罪，9 月 23 日被判处 4 至 12 年监禁。

被骗的用户能否拿回钱，取决于 Coinbase 的认定。对于 2025 年事件中被骗转账的用户，Coinbase 承诺赔付，但需逐案审核，确认损失与此次泄露直接相关。

如果用户与 Coinbase 存在分歧，打官司也没那么容易。一名用户曾起诉 Coinbase，称其未对账户中的欺诈转账进行及时、善意的调查，Coinbase 则依据用户协议要求强制仲裁。美国第九巡回上诉法院在 2023 年 12 月的判决中推翻了地方法院驳回仲裁请求的裁定，认定协议中的相关条款可以执行。

回看这几起事件，Coinbase 自身流程确实出过被利用的漏洞，尽管最终都公开了事件并承诺赔付，但披露过程确实慢了一步。

Ari Paul 所说的掩盖黑客攻击，究竟是指 Coinbase 的托管系统被攻破却未披露，还是指账户被盗后 Coinbase 拒绝赔付，目前仍不清楚。

 

硬件钱包、交易所接连被盗，怎么赔？

今年下半年，加密行业的安全事件明显变密。据区块链安全公司 PeckShield 的统计，8 月共发生 50 起重大黑客事件，较 7 月的 30 起增加 67%，是今年以来单月最多的一次。

不过 8 月的损失并没有跟着上升。当月总损失约 1.363 亿美元，较 7 月的约 2.7 亿美元下降 49.5%，平均每起事件的损失从 7 月的约 900 万美元降至约 270 万美元。

进入 9 月，单起事件的规模重新放大，尤其是 Bitget 和 Liquid Network 两起事件。

据 Liquid 技术提供方 Blockstream 发布的事件通告，自称白帽的攻击者于 9 月 6 日从比特币侧链 Liquid Network 的联邦钱包中提走约 4000 枚比特币，当时价值约 3.2 亿美元，约占储备的 95%。

Liquid 的事件报告显示，没有私钥遭到泄露。攻击者利用 Liquid 底层开源软件 Elements 的漏洞，凭空生成约 4000 枚没有储备支撑的 L-BTC，再通过正常的提取流程换回真实的比特币。

在 Blockstream 确认漏洞修复后，攻击者于 9 月 7 日归还了 3400 枚，仍有约 598.5 枚未归还，并向 Blockstream 索要 10% 的赏金。Blockstream 拒绝了这一要求，CEO Adam Back 在 9 月 10 日 Liquid 恢复出块时公开表示，L-BTC 与比特币 1:1 的锚定将得到保障，缺口由 Blockstream 承担。

不过，承诺兜底并不意味着用户已经拿回资金。Liquid 官方 9 月 17 日表示，提取功能仍处于暂停状态，此后未再公布进展。

两周多后，Bitget 也出事了。9 月 24 日晚，Bitget 的钱包开始向一个陌生地址转出资产。根据链上追踪，损失约 3.875 亿美元，这是今年规模最大的一起加密货币被盗事件，也让 9 月成为今年被盗金额最高的月份。

攻击者利用其所使用的一款第三方安全产品的漏洞，取得内部网络的高级权限，伪造的交易经过正常审批流程后被自动放行。Bitget CEO Gracy Chen 表示，攻击者并未窃取私钥，Bitget 怀疑攻击来自朝鲜黑客。

Bitget 官方表示，损失将由持有 5500 枚比特币的用户保护基金全额覆盖，提现从 9 月 28 日起分阶段恢复，计划 10 月 2 日前全面恢复。

交易所和侧链之外，自托管也没能幸免。今年7 月底，硬件钱包 Coldcard 被曝固件缺陷，自 2021 年以来生成的部分助记词可被推算，用户累计被盗约 1800 枚比特币，其中不乏存放在银行保险箱、从未联网的设备。据 Forbes 报道，制造商 Coinkite 正协助受害者报警和申请保险理赔，但没有提出赔偿，部分受害者已在筹备集体诉讼。

 

资金安全问题风波再起

回看这几起事件，钱放在哪里，出了事之后的结局大不相同。

放在中心化交易所，平台被攻破后能否赔付，取决于交易所事先有没有准备。有保护基金的可以全额兜底，但基金若以加密资产计价，其价值也会随币价波动。被骗用户的赔付往往需要逐案审核，一旦产生分歧，还可能被推向仲裁。

即便运营方承诺兜底，用户也未必能很快拿回钱。承诺落地之前，资产可能长时间处于冻结状态。

选择硬件钱包自托管，用户摆脱了对平台的依赖，也接过了设备和供应链的风险。即便操作无误，一旦厂商的固件出现缺陷，损失往往只能自己承担，或通过诉讼争取。

而冒充客服、收买内鬼这类攻击针对的是人，无论资产放在哪里都绕不开。

关于资产应该如何保管，业内争论已久。今年 8 月，Ari Paul 针对Coldcard被盗一事表示，无论自托管还是第三方托管，加密资产都无法做到安全，在大多数发达国家，法律体系对资产的保护远比密码学可靠。

ShapeShift 创始人 Erik Voorhees 反驳称，没有任何资产是绝对安全的，每种保管方式都有取舍，关键在于用户可以自主选择，并为选择负责。

Solana Labs 联合创始人 toly 则认为，加密资产有多种用途，如果作为投资，就应交给托管机构；如果是为了防范极端情况，那它就是一笔成本而非投资，可以花心思研究冷存储，两者不应混为一谈。

如今，Ari Paul 又把矛头指向了 Coinbase。这一指控能否成立，有待证据和法律程序给出答案。但这场争议始终把一个问题摆在每个持币者面前，当每一种选择都有代价，你的钱，应该放在哪里？