CZ：使用者應保護個人資料，減少在不同平台重複使用資訊
CZ：使用者應保護個人資料，減少在不同平台重複使用資訊
資料外洩已成為加密貨幣產業持續存在的風險。即使客戶資金沒有直接受到影響，外洩的個人資訊仍可能為網路釣魚、SIM 卡交換攻擊、身分盜竊及針對性社交工程攻擊創造條件。
10 月 28 日，幣安創辦人趙長鵬（Changpeng Zhao，通常稱為 CZ）指出，數起資料外洩事件涉及數位資產及傳統金融領域的企業。據報導，相關案例包括一家與 Coinbase 有關的服務供應商、南韓加密貨幣交易所 Bithumb，以及兩家韓國證券公司 Mirae Asset 和 Daishin Securities。在 Coinbase 相關事件中，據稱外洩的資訊主要是使用者聯絡資料，而非資金存取權限。
這些事件反映出一項對加密貨幣使用者而言十分重要的現實：你可能無法阻止某家公司遭到駭客入侵，但你可以降低自己所分享的資訊可能造成的損害。
為什麼資料外洩會演變成加密貨幣安全問題
單獨來看，外洩的電子郵件地址或電話號碼似乎並不可怕。然而，攻擊者可以將多項資料拼湊在一起，建立出足以取信於人的目標人物檔案。
金融服務機構遭到入侵時，常見的外洩資訊可能包括：
- 姓名
- 電子郵件地址
- 電話號碼
- 居住地址或郵寄地址
- 身分證件資料
- 交易或帳戶活動紀錄
- 客服互動紀錄
這些資訊可能被用來讓詐騙訊息看起來更加真實。攻擊者可能冒充交易所、錢包服務商、銀行或合規團隊，聲稱收件人必須完成驗證程序、解鎖帳戶，或確認一筆可疑交易。
攻擊者的目標往往不是直接突破平台的防護，而是設法說服受害者交出密碼、核准交易、安裝惡意軟體，或透露助記詞。
美國聯邦貿易委員會（FTC）針對 SIM 卡交換詐騙的指引說明了犯罪分子如何控制受害者的電話號碼，並利用該號碼接收驗證碼。在加密貨幣領域，當電話號碼被用作帳戶復原方式，或是帳戶登入的主要驗證因素時，這種風險尤其嚴重。
在各處重複使用相同資訊的風險
許多使用者會以同一個電子郵件地址和電話號碼，註冊多個交易所、錢包、NFT 市集、支付服務及區塊鏈應用程式。這樣管理帳戶雖然方便，卻也會在原本互不相關的服務之間建立緊密連結。
如果其中一個資料庫遭到入侵，攻擊者可能利用外洩資訊：
- 找出受害者可能擁有帳戶的其他平台。
- 將某人的現實身分與其加密貨幣活動連結起來。
- 發送高度個人化的網路釣魚訊息。
- 嘗試重設其他無關服務的密碼。
- 透過公開來源搜尋更多資訊。
- 以社交工程攻擊鎖定受害者。
共用相同識別資訊的平台越多，攻擊者就越容易建立完整的個人檔案。對於在多個交易所持有數位資產，或以可辨識身分使用去中心化應用程式的使用者而言，這點尤其值得警惕。
因此，資料最小化不只是隱私原則，也是實際加密貨幣安全策略的一環。
為不同服務使用獨立的電子郵件別名
最簡單的改善方式之一，是為每個主要交易所或金融平台使用獨一無二的電子郵件別名。
例如，與其在所有地方都使用同一個地址，使用者可以為以下服務分別建立不同的別名：
- 中心化交易所
- 法幣入金服務
- 交易平台
- 區塊鏈分析服務
- 軟體或硬體錢包帳戶
- 非金融類網路服務
如果某個別名日後收到可疑訊息，使用者就能判斷可能是哪項服務外洩或分享了該地址。更重要的是，獨立別名能讓攻擊者更難將該帳戶與使用者的其他網路身分連結起來。
電子郵件別名不應被視為強化驗證的替代方案。它與獨一無二的密碼、密碼管理器，以及在可行時使用的抗網路釣魚多因素驗證搭配使用，效果最佳。美國國家標準暨技術研究院（NIST）的數位身分指引提供了更廣泛的驗證與帳戶安全建議。
減少分享的個人資訊
使用者也應仔細思考，註冊帳戶及進行身分驗證時，究竟需要提供哪些資訊。
部分加密貨幣平台為遵守法律及監管要求，必須蒐集身分資訊。在這種情況下，使用者可能無法避免提交相關文件。不過，仍可透過以下方式減少不必要的資料曝露：
- 避免填寫非必要的個人資料欄位
- 在可行時，從帳戶中移除不再使用的電話號碼
- 限制公開錢包地址
- 避免分享會顯示餘額或交易紀錄的螢幕截圖
- 將個人社群媒體帳戶與加密貨幣身分分開
- 檢查交易所及金融應用程式的隱私設定
- 在服務允許的情況下刪除不活躍帳戶
使用者在向不熟悉的平台分享身分證件時，也應保持警惕。完成驗證前，請先確認該公司的法定身分、安全措施、隱私權政策及客服管道。即使未經請求收到的訊息中包含準確的個人資料，只要對方要求提供敏感文件，就應視為可疑。
資料外洩後如何防範網路釣魚
資料外洩可能讓未來的詐騙變得更具可信度。使用者應假設：即使訊息中包含自己的姓名、電話號碼或部分交易紀錄，仍有可能是詐騙。
採取行動前：
- 不要點擊意外收到的帳戶警示中的連結。
- 透過書籤中的網站或官方應用程式開啟服務。
- 絕對不要分享助記詞、私鑰或一次性驗證碼。
- 對涉及提款或凍結帳戶的緊急要求保持高度警惕。
- 透過獨立管道驗證客服或支援請求。
- 輸入登入資料前，仔細檢查完整網域名稱。
- 不要依照陌生「客服人員」的要求安裝軟體。
合法的平台不會要求使用者提供助記詞來恢復存取權限或調查交易。任何提出這種要求的人，都企圖控制你的錢包。
美國網路安全暨基礎設施安全局（CISA）的網路釣魚防範指引也建議，面對意外收到的要求時應放慢腳步，透過獨立方式進行確認，而不是在壓力下立即回應。
自主管理資產並不能消除隱私風險
自主管理資產可以降低對第三方保管私鑰的依賴，但並不能自動解決身分與隱私問題。
使用者可以將資產存放在自主管理錢包中，卻仍可能透過交易所帳戶、區塊鏈應用程式、社群平台或公開錢包資訊曝露個人資料。如果錢包地址與姓名、電子郵件地址或交易帳戶產生關聯，鏈上活動就可能更容易被分析，並與現實身分連結。
更安全的做法是結合多個防護層：
- 將私鑰及助記詞離線保存。
- 為金融服務使用專用的電子郵件身分。
- 避免不必要地公開錢包地址。
- 簽署交易前仔細檢查交易細節。
- 將長期持有的資產與頻繁交易活動分開。
- 妥善保護備份，絕不要將助記詞儲存在雲端文件或通訊應用程式中。
對於希望自行掌控私鑰的使用者而言，OneKey 硬體錢包提供離線簽署環境，旨在協助將敏感的錢包操作與可能遭到入侵的電腦及網站隔離。這無法阻止交易所或服務供應商遭遇資料外洩，但可以降低外洩的聯絡資訊直接導致未經授權交易核准的可能性。
為加密貨幣使用者建立更具韌性的安全模式
沒有任何單一安全措施能阻止所有攻擊。交易所、分析服務供應商、支付處理商、電信公司，以及加密貨幣產業以外的金融機構，都可能發生資料外洩。
更實際的目標，是限制曝露的資訊量、提高不同帳戶彼此連結的難度，並確保身分資料外洩不會自動導致數位資產遭到控制。
使用獨立的電子郵件別名、減少分享不必要的資料、強化驗證措施，以及將私鑰與網路服務分開保存，都能大幅改善使用者的整體安全狀況。正如 CZ 的警告所指出，保護個人資料正逐漸成為負責任持有加密貨幣不可或缺的一環，而不再只是可有可無的隱私升級。
