以色列最大加密貨幣券商 20 萬人資料外洩：身分證號與銀行帳號都在內
Bits of Gold 2013 年成立，是以色列第一家拿到虛擬資產服務牌照的業者，客戶超過 25 萬人，也獲准發行盯住以色列幣的穩定幣 BILS。這一週已經是加密貨幣圈第三起客戶名單外洩，硬體錢包 Trezor 的物流商被駭，SafePal 的訂單外掛出漏洞，加起來超過 23 萬人。共同點是被打進來的都不是公司自己的系統，而是外包廠商。
Bits of Gold 8 月 16 日公布，一個用於客服與資料分析的第三方系統遭未授權存取，約 20 萬名客戶的姓名、以色列身分證號、電子郵件、電話、網路位址、銀行帳號與公開錢包地址可能外流。公司說資金、私鑰、密碼、證件掃描檔與信用卡驗證碼沒有受影響，發現後已封鎖入侵、切斷該系統並通報主管機關，初步判斷屬於同時打中多家公司的全球性事件。
- itez：「最近這幾起案子有兩個模式。供應鏈攻擊：Trezor 和 Bits of Gold 都不是被直接攻破，而是透過第三方外包商。以及用社交工程取代程式漏洞：EtherHiding 和假的驗證碼頁面，騙受害者自己把惡意指令貼上去。」
硬體錢包把私鑰鎖在離線裝置裡，安全性建立在私鑰從不連網這件事上。但買一台實體裝置得留下真實姓名、住家地址和電話，這份訂單紀錄本身就是一張「誰家裡有加密貨幣」的名單。名單外流不會讓錢直接消失，卻能讓詐騙者寫出叫得出你名字的信，也讓有心人知道該找上哪一戶。
8 月 16 日 SafePal 公告，訂單追蹤外掛程式有一個授權漏洞，改動訂單編號就能讀到別人的訂單，2025 年 3 月到 2026 年 4 月間下單的 39,798 名客戶因此外洩姓名、地址與電話，種子短語與私鑰未受影響。同一天資安媒體 BleepingComputer 發現有人在犯罪論壇掛賣這批資料，賣家引用同一段期間與同一個人數，還提供訂單編號與寄送國別讓買家去官網自查工具驗貨。SafePal 說 5 月初收到第一份相符通報時當成個案，7 月重建訂單系統才找到漏洞。
硬體錢包是把私鑰離線保存的實體裝置，Trezor 是最老牌的品牌之一。這種裝置先天有個矛盾，本身不連網，但寄到家門口一定要留下姓名、電話與地址，物流商就握有這份名單。名單外流，等於告訴外人「這個地址的人手上有加密貨幣」。今年上半年全球已有 52 起針對持幣者的暴力搶案。
Trezor 8 月 13 日公布，物流商 ShipMonk 的系統遭到未授權存取，13,689 名客戶的訂單資料外洩，其中 11,742 人的姓名、電話、信箱與地址全被拿走，另外 1,947 人只外洩姓名、城市與信箱。受影響的是 5 月 10 日到 8 月 8 日之間在美國、英國、巴西等七國收貨的新客戶。Trezor 說自家系統、裝置與私鑰都沒被碰到，並把「匿名寄送」提前排進時程，歐盟九月、美國年底上線。