ZachXBT指控BitcoinIRA與iTrustCapital遭入侵，涉及120萬美元竊案

區塊鏈調查員ZachXBT週一指控，BitcoinIRA與iTrustCapital今年分別遭受資料外洩事件，卻未公開揭露相關情事，引發外界擔憂外洩的客戶資訊可能助長針對性的社交工程攻擊。

ZachXBT表示，他已審查證據，顯示與兩家公司相關的資料庫均遭入侵，外洩資料包括個人詳細資料、投資組合持有狀況、銀行資訊、託管機構資訊及帳戶驗證狀態。他於8月21日聯繫兩家公司尋求回應，但尚未獲得回覆。

兩家平台均未公開證實資料外洩。ZachXBT並未透露可能受影響的客戶人數、所指控的外洩事件發生時間，或攻擊者取得存取權限的方式。相關指控尚未經獨立驗證。

眼前的主要風險未必在於兩家平台託管方所持有的加密資產。反之，犯罪者可能利用詳細的客戶資訊，使釣魚電子郵件與假冒客服電話更具說服力。

120萬美元竊案與偽造BitcoinIRA電子郵件有關

ZachXBT以6月一宗涉及BitcoinIRA客戶的案件為例，說明此類資訊可能如何被利用。本月初，他發布另一項獨立調查，涉及一名代號「Tiffany」的威脅行為者，該人士與至少500萬美元的假冒加密貨幣公司及硬體錢包客服服務竊案有關。

一名受害者據稱在收到一封偽造的BitcoinIRA電子郵件後，於6月從Trezor硬體錢包損失超過120萬美元的比特幣與以太幣。這些資產並非從BitcoinIRA的託管基礎設施中被竊取——攻擊者假冒該平台，並對獨立持有加密資產的個人進行社交工程攻擊。

BitcoinIRA成立於2016年，服務超過20萬名美國客戶，並支援超過100種加密貨幣。該公司使用Digital Trust作為託管機構，數位資產透過BitGo多重簽章基礎設施儲存，託管保險金額最高達2.5億美元。iTrustCapital則使用Fortis Bank作為合格託管機構，加密資產透過Coinbase Custody、Fidelity Digital Assets及Fireblocks以封閉迴路結構持有，不涉及熱錢包。

揭露義務問題待解

目前尚無法確定兩家公司是否負有法律義務揭露任何事件。美國的資料外洩通知要求取決於受影響客戶的居住地、被存取之資訊內容、資料是否加密，以及該事件是否符合法律上對「外洩」的定義。

最關鍵的確認必須來自BitcoinIRA與iTrustCapital本身：它們的系統或服務供應商是否遭到入侵、涉及哪些資料、多少客戶受影響，以及是否已私下通知客戶或監管機構。

在這些細節明朗之前，最有力的結論範圍比最初的指控更為狹窄。ZachXBT表示他審查了涉及兩家公司的客戶資料外洩證據，且先前的一項調查記載了一名BitcoinIRA用戶遭到120萬美元社交工程竊案的案例。但兩起外洩事件均未經公開證實，且沒有證據顯示任一平台的核心加密資產託管基礎設施遭到入侵。

本文僅供參考用途，不構成投資建議。