执行摘要

Crypto.com 证实 2023 年发生了一起数据泄露事件，与臭名昭著的 Scattered Spider 黑客组织有关，特别是涉及 Noah Urban，该事件导致少数个人用户的有限个人身份信息 (PII) 被曝光。这家加密货币交易所坚称，在事件发生期间，客户资金没有被访问或面临风险，并称该事件在检测到后的数小时内就得到了控制。

事件详情

此次确认的事件源于 2023 年针对 Crypto.com 员工的一次复杂的网络钓鱼攻击，该攻击使得未经授权的人员能够访问公司系统。此次攻击被归因于 Scattered Spider，这是一个以社会工程策略而非传统恶意软件闻名的组织。区块链调查员 ZachXBT 公开批评 Crypto.com，称其掩盖了此次泄露事件。作为回应，包括首席执行官 Kris Marszalek 在内的 Crypto.com 官员表示，该公司已向美国全国多州许可系统 (NMLS) 提交了“数据安全事件通知”，并向“相关司法管辖区监管机构”提交了“额外报告”。他们坚称任何关于未披露信息的说法都是毫无根据的。此次泄露事件涉及有限的 PII 数据，影响了“极少数个人”。消息来源表明，Scattered Spider 通过其成员（如 Noah Urban）利用社会工程学，并可能利用了联合包裹服务 (UPS) 等系统，获取个人数据并获取凭据，这符合影响 200 多家公司的更广泛攻击模式。

市场影响和安全态势

Crypto.com 数据泄露事件凸显了数字资产行业面临的持续网络安全挑战，特别是对复杂社会工程攻击的脆弱性。虽然 Crypto.com 强调客户资金保持安全，但 PII 的暴露带来了潜在的网络钓鱼攻击、身份盗窃或针对受影响用户的鱼叉式网络钓鱼诈骗等风险。此次事件可能会促使人们加大对 Crypto.com 安全协议及其在安全事件期间沟通实践的审查。对于更广泛的 Web3 生态系统而言，它提醒人们，健全的安全措施，以及透明和及时的披露，对于维护用户信任和促进更广泛的采用至关重要。此类事件强调了持续警惕不断演变的威胁载体的必要性，这些威胁载体不仅限于技术漏洞，还包括组织内部的人为因素。市场影响虽然在此次事件中没有直接影响加密资产价格，但关系到投资者和用户对中心化交易所及其保护敏感个人数据能力的信心。

更广泛的背景：Scattered Spider 的作案手法

Noah Urban 在其活动时年仅 18 岁，是 Scattered Spider 的关键人物，该组织已从简单的 SIM 卡交换转向复杂的公司渗透。他的方法涉及通过社会工程操纵员工，有时利用从其他泄露事件中窃取的数据，例如之前对 Twilio 的渗透，该渗透提供了对 209 家公司客户验证码的访问权限。Urban 更广泛的犯罪活动涉及多家公司，估计总损失高达 2500 万美元。他承认犯有电信欺诈和严重身份盗窃罪，被判处 10 年监禁，并被勒令赔偿 1300 万美元，其中 480 万美元的加密货币已被扣押。此案表明，网络犯罪分子利用人为漏洞绕过技术防御的趋势日益增长，这表明有效的网络安全策略必须同时包含技术防护措施和针对社会工程策略的全面员工培训。