Pocket Bitcoin 於 9 月 3 日表示，其 8 月的安全事件洩露了涉及 5,411 名客戶的額外個人和財務資訊，擴大了其最初披露的範圍。
摘要
- Pocket Bitcoin 確認兩個被洩露的資料組總共包含涉及 5,411 名客戶的記錄。
- 銀行交易清單暴露了姓名、地址、轉帳金額、日期，有時還包括客戶的 IBAN 帳號。
- 另有 291 名客戶可能面臨身份證件、比特幣地址和敏感資金記錄的暴露。
- Pocket 表示其客戶資料庫、交易系統、私鑰和客戶比特幣未受到直接影響。
- 瑞士和列支敦士登當局已收到通知，而 Pocket 也正式提交了警方報告。
這家瑞士比特幣服務提供商在完成取證調查後確定了兩個不同的群組。一組包含涉及 5,120 名客戶的銀行交易資訊。另一組包含可能涉及 291 名客戶的更敏感記錄的通訊。
Pocket Bitcoin 洩露事件暴露了兩個資料組
較大的群組由合作銀行在合規檢查期間發送給 Pocket Bitcoin 的交易清單組成。這些清單包含客戶姓名、居住地址、轉帳金額和交易日期。有些還包含與轉帳相關的 IBAN。
較小的群組涉及 Pocket Bitcoin 發送給合作銀行的通訊。根據客戶的不同，暴露的資料包括姓名、郵寄地址、公開比特幣地址、身份證件副本和資金來源記錄。
這兩個群組合計涵蓋 5,411 名客戶。其他客戶可能在公司最初的披露中暴露了電子郵件地址或支援對話，但 Pocket 表示，那些沒有收到新的個人通知的客戶應繼續依賴該初始通知。
核心資料庫和客戶比特幣未受影響
Pocket Bitcoin 表示，攻擊者並未入侵其主要客戶或交易資料庫。相反，這些記錄來自受影響支援系統中複製的備份中的通訊和銀行生成的清單。
這種區別解釋了為什麼類似交易和身份記錄的資料會被暴露，即使底層資料庫仍然安全。受影響的支援資料包含在監管合規程序期間產生或接收的資訊副本。
Pocket Bitcoin 作為非託管服務運營，不持有客戶的私鑰。該公司表示，攻擊者從未接觸到比特幣餘額，而買賣服務繼續正常運作。
被披露的比特幣地址無法授權轉帳。然而，將公開地址與客戶身份關聯起來可能允許其他人檢查其可見的區塊鏈活動。Pocket 指出，移動比特幣無法抹去該地址的現有交易歷史。
暴露的記錄造成實體釣魚風險
Pocket Bitcoin 表示，目前沒有跡象顯示暴露的資訊已被濫用。該聲明反映了其調查後可獲得的資訊，並不保證將來不會發生濫用。
「就目前情況而言，我們沒有跡象顯示任何受影響的資訊已被濫用。」Pocket Bitcoin 表示。
該公司指出，偽造信件和其他實體通訊是特別的風險，因為其中包含了姓名和郵寄地址。詐騙者可以引用真實的銀行轉帳或比特幣交易，使冒充企圖看起來可信。
根據 Pocket Bitcoin 的說法，電子郵件地址和登入憑證與這兩個新識別的資料群組無關。因此，該公司表示，它不認為這些記錄會直接導致針對性的電子郵件釣魚風險。
此事件發生在幾起涉及核心加密系統之外持有的客戶資訊的揭露之後。正如 crypto.news 所報導，最近的三起洩漏事件暴露了 253,487 筆記錄，引發了人們對居住地址和交易資料可能在多年後助長釣魚或實體攻擊的擔憂。
另一起發生在 8 月的 Bits of Gold 事件，可能透過第三方系統暴露了客戶的身份、銀行和錢包資訊。該調查同樣發現客戶資金和密碼未受影響。
Pocket Bitcoin 已通知監管機構和警方
Pocket Bitcoin 已向瑞士聯邦資料保護和資訊專員以及列支敦士登的資料保護辦公室報告了此事件。它還提交了警方報告，但未指明涉嫌的攻擊者，也未提供調查細節。
該公司表示，導致此事件的漏洞已關閉，並已安裝額外的安全措施。它正在審查銀行通訊和相關合規記錄的儲存和傳輸方式。
Pocket 預計在未來幾週內發布有關這些變更的更多資訊。它預計不會識別出更多的暴露類別，但表示如果後續發現改變了該評估，將通知客戶。
受影響的用戶應監控銀行活動，並謹慎對待意外的信件、電話或訊息。Pocket Bitcoin 表示，它絕不會要求客戶透過主動打來的電話或信件透露助記詞或轉移比特幣。
