Pocket Bitcoin 于9月3日表示，其8月份的安全事件暴露了涉及5,411名客户的额外个人和财务信息，扩大了其最初披露的范围。
摘要
- Pocket Bitcoin 确认两组暴露的数据共涉及5,411名客户的记录。
- 银行交易列表暴露了姓名、地址、转账金额、日期，有时还包括客户的IBAN账号。
- 另有291名客户可能面临身份证件、比特币地址和敏感资金来源记录暴露的风险。
- Pocket 表示其客户数据库、交易系统、私钥和客户比特币未受到直接影响。
- 瑞士和列支敦士登当局已收到通知，Pocket 也正式提交了警方报告。
这家瑞士比特币服务提供商在完成法证调查后确定了两个不同的数据组。一组包含涉及5,120名客户的银行交易信息。另一组包含涉及291名客户的通信记录，其中可能包含更敏感的信息。
Pocket Bitcoin 数据泄露暴露两组数据
较大的一组数据是合作银行在合规检查期间发送给 Pocket Bitcoin 的交易列表。这些列表包含客户姓名、居住地址、转账金额和交易日期。有些还包括与转账关联的IBAN。
较小的一组数据涉及 Pocket Bitcoin 发送给合作银行的通信。根据客户的不同，暴露的材料包括姓名、邮政地址、公开的比特币地址、身份证件副本和资金来源记录。
这两组数据共涉及5,411名客户。其他客户可能在公司最初的披露中暴露了电子邮件地址或支持对话，但 Pocket 表示，未收到新个人通知的客户应继续依赖该初始通知。
核心数据库和客户比特币未受影响
Pocket Bitcoin 表示，攻击者并未入侵其主要客户或交易数据库。相反，这些记录来自存储在受影响支持系统内复制备份中的通信和银行生成的列表。
这一区别解释了为什么尽管底层数据库保持安全，但类似交易和身份记录的数据仍被暴露。受影响的支持材料包含在监管合规过程中产生或接收的信息副本。
Pocket Bitcoin 作为非托管服务运营，不持有客户的私钥。该公司表示，攻击者从未能够访问比特币余额，买卖服务继续正常运行。
公开的比特币地址无法授权转账。然而，将公开地址与客户身份关联可能允许他人查看其可见的区块链活动。Pocket 指出，移动比特币无法抹去该地址现有的交易历史。
暴露的记录造成物理钓鱼风险
Pocket Bitcoin 表示，目前没有迹象表明暴露的信息已被滥用。该声明反映了其调查后获得的信息，并不保证以后不会发生滥用。
“就目前情况而言，我们没有迹象表明任何受影响的信息已被滥用，”Pocket Bitcoin表示。
该公司指出，伪造信件和其他实体通信是特别的风险，因为其中包含姓名和邮政地址。欺诈者可能引用真实的银行转账或比特币交易，使冒充尝试看起来可信。
据Pocket Bitcoin称，电子邮件地址和登录凭据与这两个新识别的数据组无关。因此，该公司表示，它认为这些记录不会直接导致有针对性的电子邮件钓鱼风险。
该事件发生在几起涉及核心加密系统之外持有的客户信息的披露之后。据crypto.news报道，最近的三起泄露事件暴露了253,487条记录，引发了人们对居住和交易数据可能在未来支持钓鱼或物理攻击的担忧。
8月份另一起涉及Bits of Gold的事件可能通过第三方系统暴露了客户身份、银行和钱包信息。该调查同样发现客户资金和密码未受影响。
Pocket Bitcoin已通知监管机构和警方
Pocket Bitcoin已向瑞士联邦数据保护和信息专员以及列支敦士登数据保护办公室报告了该事件。它还提交了警方报告，但未指明疑似攻击者或提供调查细节。
该公司表示，事件背后的漏洞已修复，并已安装额外的安全措施。它正在审查银行信函和相关合规记录的存储和传输方式。
Pocket预计将在未来几周内发布有关这些变更的更多信息。它预计不会发现更多暴露类别，但表示如果后续调查结果改变该评估，将通知客户。
受影响的用户应监控银行活动，并对意外的信件、电话或消息保持警惕。Pocket Bitcoin表示，绝不会通过主动打来的电话或信件要求客户透露助记词或转移比特币。
