數據洩露

ChainCatcher 消息，据 CoinDesk 報導，硬體錢包廠商 Trezor 確認，因物流供應商發生資訊洩露，另有 6.7 萬名客戶的姓名、電話號碼及住址被暴露。另一起資料洩露公開約 20 萬條記錄，其中包括政府身份證件號碼及已驗證錢包地址。2020 年某硬體錢包廠商失竊的地址資料，至今仍被用於寄送索要 Bitcoin 的實體郵件。

ChainCatcher 消息，据 CoinDesk 報導，聲稱持有 Revolut 用戶數據的駭客已開始公開發布相關文件，涉及數據包括護照、自拍照及比特幣交易記錄。駭客威脅稱，若 Revolut 不支付贖金，將每日持續洩露數據。目前 Revolut 方面尚未公開回應。

ChainCatcher 消息，Revolut 披露，一名未獲授權的第三方利用某政府機構真實域名下的電子郵箱提交虛假客戶資料調取請求，導致少量客戶的敏感信息被披露。公司將事件稱為"複雜的外部冒充詐騙"，目前已封禁相關郵箱，並表示自身系統及客戶資金未受影響。可能被披露的信息包括姓名、出生日期、住址、電子郵箱、電話號碼，護照及駕駛執照等身份證件副本、身份驗證自拍、帳戶結單、IBAN、提款記錄和完整交易歷史，其中包括比特幣交易記錄。Mt. Gox 前 CEO Mark Karpelès 稱自己是受影響者之一。Revolut 未公布受影響客戶人數、事件是否僅涉及單一市場，以及遭冒用域名所屬的政府機構。公司已通知相關政府機構、執法部門、數據保護機構及金融監管部門。鏈上調查員 ZachXBT 推測，事件規模可能有限，但目標或為高淨值用戶。

ChainCatcher 消息，比特幣硬體錢包製造商 Trezor 警告稱，其用於發送新聞通訊的第三方行銷平台 Brevo 發生資料洩漏，攻擊者利用該平台向 34.7 萬 Trezor 客戶發送了釣魚郵件。攻擊者藉助 Trezor 的域名發送郵件，使釣魚嘗試更具迷惑性，郵件內含惡意連結，誘導用戶下載應用並輸入錢包備份。Trezor 表示，已在 20 分鐘內於 DNS 層面關閉該域名，阻止連結繼續生效，但此前已有約 2500 人點擊。Trezor 已暫停 Brevo 帳戶以阻止郵件繼續發送，並強調除該行銷平台外，其他 Trezor 系統未受影響，同時提醒用戶 Trezor 從不要求客戶提供錢包備份。此次事件之前，Trezor 上月披露其第三方履約合作夥伴 ShipMonk 遭攻擊，導致 11742 名客戶資料洩漏；上週又表示另有 6.7 萬名美國客戶的姓名、郵箱、電話、收貨地址及訂單號在洩漏中曝光。今年以來，加密貨幣錢包 Ledger 的支付處理商 Global-e 及錢包提供商 SafePal 也相繼發生資料洩漏，SafePal 約 3.98 萬客戶的訂單資訊遭未授權訪問。

ChainCatcher 消息，硬體錢包廠商 Trezor 更新其物流合作商 ShipMonk 資料洩露事件進展，稱此前披露的洩露規模被低估，另有約 6.7 萬名 2019 年 11 月至 2021 年 8 月期間下單的美國用戶資訊遭完整洩露，涉及姓名、電子郵件、電話、收貨地址及訂單號。Trezor 表示，此前曾與 ShipMonk 多次確認相關資料已按合同和資料政策刪除並收到書面保證，但對方系統中實際並未刪除。Trezor 稱其自身系統未受影響，硬體錢包仍然安全，但受影響用戶可能面臨更多針對性釣魚攻擊風險，所有受影響用戶均已通過電子郵件單獨通知。此次事件最早於 8 月 13 日披露，當時影響約 1.37 萬名用戶。Trezor 表示正加快推出匿名收貨服務，以降低用戶下單時的資訊暴露風險。

ChainCatcher 消息，Bitcoin News 在 X 平台發文表示，法國本月披露其稅務管理部門遭黑客入侵，約 67.8 萬名個人和企業的相關數據被竊。被竊數據據稱包括姓名、地址、收入及房產信息。對據稱數據庫的分析發現，其中有 26,805 條記錄顯示收入超過 10 萬歐元，包括 386 條超過 100 萬歐元。根據 CertiK 數據，2026 年上半年全球已核實的 52 起加密貨幣扳手攻擊中，法國占 33 起。法國檢察官還指控一名稅務部門員工利用政府數據庫識別加密貨幣投資者，並向參與人身攻擊和勒索的犯罪分子出售個人信息。最新數據洩露事件尚無公開關聯的人身攻擊事件，但數十萬人的敏感財務和位置數據目前可能已不再受政府控制。

ChainCatcher 消息，鏈上偵探 ZachXBT 發文稱，他在審查相關證據後發現，美國兩家投資平台 BitcoinIRA 與 iTrustCapital 今年疑似發生數據洩露，但目前似乎均未公開披露。洩露信息據稱包括個人資料、投資組合、銀行及托管帳戶信息、驗證狀態等。其舉例稱，攻擊者 "Tiffany" 今年 6 月利用相關數據庫針對一名 BitcoinIRA 用戶實施攻擊並盜走逾 120 萬美元。ZachXBT 表示已於 8 月 21 日聯繫兩家公司置評，截至發文時尚未收到回覆。

ChainCatcher 消息，据 Security Affairs 報導，Ransomnews 研究人員記錄到大規模 Stripe 商戶 API 密鑰洩露事件，密鑰暴露於公開代碼倉庫、GitHub Actions 日誌及配置不當的 Web 伺服器中，累計識別出超過 5 萬個唯一密鑰。樣本測試顯示相當一部分仍活躍，攻擊者可在數小時內利用其實施欺詐。報告稱，2026 年 8 月 18 日某數據交易論壇發布的數據集包含 659 個商戶帳戶的有效 Stripe API 密鑰及約 35 GB 客戶與支付數據。Ransomnews 已離線分析並在發布前向 Stripe 報告。Stripe 本身未被攻破，密鑰均屬商戶。研究人員在發現有效密鑰後，於 17 小時內即可訪問商戶客戶列表、創建欺詐性支付鏈接並完成 1 美元測試扣款。有效密鑰可列出客戶及儲存支付方式、創建扣款與支付意圖、向攻擊者控制帳戶發起退款、修改 Webhook 端點以攔截支付通知，並在啟用 Stripe Connect 時訪問關聯帳戶。主要洩露來源包括 GitHub 倉庫硬編碼密鑰與未忽略的 .env 文件、GitHub Actions 構建日誌中未掩碼的環境變量，以及逾 3000 台配置不當伺服器中約 12% 含可用密鑰。

ChainCatcher 消息，鏈上偵探 Specter 在 X 平台發文表示，考慮到被盜數據所涵蓋的時間段，這可能意味著數據洩露早在 4 月已經發生，最晚不遲於 5 月初，但相關方直到近期、與 Trezor 宣布自身數據洩露大致同時才選擇保持沉默。部分用戶當時已收到釣魚攻擊並遭受資產損失，但相關方沒有保持透明、提醒用戶或進行風險提示，而是否認了數據洩露。

ChainCatcher 消息，据 Crypto Briefing 報導，以色列最大合規加密經紀商 Bits of Gold 遭遇數據洩露，約 20 萬名客戶個人信息被黑客竊取，平台全部用戶面臨風險。該公司曾於 2022 年 9 月獲得以色列首張虛擬資產服務提供商（VASP）牌照，2026 年 4 月獲批發行與謝克爾 1:1 錨定的 BILS 穩定幣，被盜數據類型尚未公布，但加密經紀商通常依據 KYC 法規收集身份證件、地址證明及財務信息等敏感資料。冷錢包雖可保護數字資產，卻無法保護伺服器上的客戶身份文件。歷史案例顯示，類似數據洩露常被用於釣魚、SIM 卡調換及定向社交工程攻擊，安全風險已超出平台本身。

ChainCatcher 消息，法國財政部長確認，黑客於 6 月底入侵法國公共財政總局系統，並竊取了個人和企業納稅人數據。據追蹤法國網絡攻擊的平台 FrenchBreaches 稱，此次事件影響約 678,437 人，相當於法國人口約 1%，但具體人數仍在調查中，尚未最終確認。被洩露數據據稱包括姓名、出生日期、家庭住址、電話號碼、電子郵件、稅務識別信息和收入數據等敏感信息。其中，近 27,000 人稅收收入至少為 10 萬歐元，386 人超過 100 萬歐元，另有 8 人超過 1000 萬歐元。報導稱，該數據庫已在暗網市場以數千歐元價格出售。攻擊者自稱 ZeroBytes，聲稱其通過內部搜索工具提取相關記錄，隨後才被發現並切斷訪問。這一事件引發加密行業擔憂，因為法國近年針對加密持有者的 "wrench attack" 暴力搶劫事件明顯增加。若高收入人群、地址和聯繫方式被洩露，可能為犯罪分子提供更精確的目標名單。

ChainCatcher 消息，Bitcoin News 在 X 平台發文表示，Trezor 稱其客戶數據因物流服務商 ShipMonk 發生安全漏洞而暴露。在過去 90 天內在美國、英國、瑞典、哥倫比亞、巴西、義大利或葡萄牙收到訂單的客戶可能受到影響。暴露的數據包括全名、收貨地址、電話號碼、電子郵件地址和訂單號。Trezor 表示其系統未遭入侵，設備仍然安全，但提醒受影響客戶防範利用洩露信息實施的精心設計的釣魚攻擊。

ChainCatcher 消息，據福布斯報導，美國聯邦通信委員會（FCC）於 2026年 7月 27 日正式宣布，禁止進口外國製造的 AI 人形機器人，理由是國家安全威脅。FCC 將這類設備定性為"特洛伊木馬"------其搭載的高精度傳感器可持續採集用戶家庭及企業的敏感數據，並將其傳輸至境外實體，存在被用於大規模監控或情報活動的風險，且相關設備還可能遭遠程操控。禁令雖針對所有外國製造商，但實際上對中國影響最為顯著，因中國目前在全球 AI 人形機器人市場佔據較大份額。推動本土製造業發展亦是此次禁令的重要次要目標。

ChainCatcher 消息，密碼管理工具 LastPass 公告，獲悉其第三方市場情報平台 Klue 發生安全事件，黑客竊取了 Klue 持有的多個客戶（包括 LastPass）的 OAuth 令牌，並利用這些令牌訪問了 LastPass 的 Salesforce CRM 系統，導致部分客戶姓名、電話號碼、電子郵件地址、家庭住址以及支持案例等業務聯繫信息和 CRM 數據可能洩露。官方提醒：LastPass 的產品、服務、基礎設施及客戶密碼庫（vaults）未受任何影響，Gong 系統數據也未被訪問。LastPass 已立即採取措施，包括停止員工對 Klue 的訪問、輪換暴露的 API 令牌、開展詳細調查並與 Klue、Salesforce 及執法部門合作，同時通過 TIME 團隊向安全社區分享威脅情報，並加強未來防護。用戶應提高警惕，防範可能利用洩露信息發起的釣魚郵件、電話或社交工程攻擊，並牢記 LastPass 絕不會索要主密碼，所有官方溝通均通過可信渠道發送。

ChainCatcher 消息，据 TechCrunch 報導，Trump Mobile 被曝出現用戶數據泄露事件，涉及客戶郵箱地址與郵寄地址等個人信息，目前相關數據仍可在網絡上訪問。YouTube 創作者 Coffeezilla 與 penguinz0 表示，他們在訂購特朗普金色 T1 手機後，收到安全研究人員提醒，發現其個人信息已出現在泄露數據集中。Coffeezilla 稱，泄露內容幾乎涵蓋全部基礎身份信息，僅未包含信用卡號，並警告用戶不要在該平台下單。兩人表示，泄露數據疑似來源於可公開訪問的系統，且目前尚未收到 Trump Mobile 官方回應或修復說明，相關問題仍未解決。據泄露數據中的訂單編號推測，實際預訂數量約為 3 萬部，遠低於此前市場預期的約 59 萬預售規模。分析認為，該事件進一步引發外界對 Trump Mobile 產品交付與基礎安全能力的質疑。

ChainCatcher 消息，据財聯社報導，OpenAI 針對近期發生的針對熱門開源庫 TanStack 的 "Mini Shai-Hulud" 供應鏈攻擊事件發布聲明表示，在監測到此次針對多款常用npm軟體包的惡意攻擊後，安全團隊已迅速排查了內部系統，目前尚未發現任何用戶數據被洩露或非法訪問的證據。OpenAI 指出，雖然其核心服務未受直接破壞，但為了確保本地環境的安全，所有使用其官方應用程序的 macOS 用戶須在 2026 年 6 月 12 日前完成軟體更新。

ChainCatcher 消息，針對外界有關其數據遭「洩露」的質疑，Polymarket 發文澄清，相關數據從未被洩露，所有數據均可通過其公共端點及鏈上數據公開訪問，這是鏈上數據透明性的固有特性，而非安全漏洞。Polymarket 表示，鏈上數據的核心優勢之一在於其完全公開可審計，任何人均可通過其 API 免費獲取相關數據，無需付費購買。ChainCatcher 此前消息，預測市場平台 Polymarket 疑遭數據洩露，逾 30 萬條記錄及漏洞利用工具包外洩。

ChainCatcher 消息，去中心化預測市場平台 Polymarket 疑遭黑客入侵，威脅行為者 xorcat 在一知名網絡犯罪論壇發布了逾 30 萬條數據記錄及配套漏洞利用工具包。據稱，攻擊者通過未公開的 API 端點、分頁繞過及 Polymarket Gamma 與 CLOB API 的 CORS 錯誤配置提取數據。泄露內容包括：1 萬個用戶完整個人信息（含姓名、代理錢包及基礎地址）、4111 條評論、1000 條舉報記錄（含 58 個 ETH 地址及管理員認證地址標識）、48536 個 Gamma 市場元數據、逾 25 萬個活躍 CLOB 市場的固定乘積做市商地址，以及 9000 個關注者社交圖譜數據。工具包中包含多個漏洞的概念驗證代碼，涉及 CVE-2025-62718（Axios NO_PROXY 繞過，CVSS 9.9，可觸發服務端請求偽造）、CVE-2024-51479（Next.js 中間件認證繞過，CVSS 7.5）及 CORS 錯誤配置等。此外，工具包還附有自動化持續拉取腳本及完整紅隊報告。

ChainCatcher 消息，慢霧科技首席信息安全官 23pds 轉推稱，雲托管平台 Vercel 內部系統遭未經授權訪問一事，疑似與內部數據洩露有關。相關推文表示，有人在 BreachForums 上自稱為 ShinyHunters，以 200 萬美元出售所謂 Vercel 內部數據庫、訪問密鑰、源代碼、員工帳號、API keys、NPM tokens 及 GitHub tokens 等。相關數據疑似涉及 Vercel 內部 Linear 系統及內部用戶管理系統。此前消息，雲托管平台 Vercel 披露內部系統遭未授權訪問，少量客戶受影響。

ChainCatcher 消息，OpenAI 發文表示，近期在一次行業範圍安全事件中，發現其使用的第三方開發庫 Axios 存在潛在安全問題。經排查，未發現用戶數據被訪問、系統遭入侵或軟體被篡改的證據。出於謹慎考量，OpenAI 已啟動安全加固措施，重點加強 macOS 應用的認證機制，以防範惡意方偽造官方應用進行分發。OpenAI 同時提醒所有 macOS 用戶儘快更新至最新版本應用，通過應用內更新或官方渠道下載，以降低潛在風險。