基金会在一起与遗留数据库备份和泄露的API密钥相关的数据泄露事件后，检测到超过23,000封恶意邮件。据报道，基金会数据泄露钓鱼尝试的规模提醒我们，数据泄露很少在数据被窃取时就结束。它往往标志着第二波攻击的开始，攻击者利用泄露的信息，向信息所属的人发送极具说服力的消息。
源文章较为简短，因此本文仅基于已报道的内容：此次泄露与旧数据库备份和泄露的API密钥有关，随后该平台出现了超过23,000封恶意邮件的激增。除此之外的细节，例如具体暴露了哪些字段，在我们可获取的材料中并未说明，因此我们不会对此进行猜测。
旧备份和暴露的API密钥如何导致泄露
根据报道，该事件可追溯至两个薄弱环节：遗留数据库备份和泄露的API密钥。它们是不同的问题，但有着共同的根源。两者都属于系统升级后容易被遗忘的资产类型。
备份是数据的完整副本，其中可能包含当前系统已经收紧或移除的信息。如果一份旧副本存放在不再享有与在线产品同等监控或访问控制的存储中，它就会成为有吸引力的目标。
API密钥的作用类似于软件密码。它们让一个系统无需人工登录即可与另一个系统通信。如果密钥被暴露且从未轮换，持有该密钥的人就可能以受信任应用的身份提取数据或访问服务。由于密钥通常没有附加第二重验证，它们可能被悄悄滥用很长一段时间。
据报道的结果不仅仅是数据泄露，还有钓鱼邮件的激增：检测到超过23,000封恶意邮件。这个数字表明攻击者迅速将信息投入使用。
如何在泄露后识别加密货币钓鱼邮件
泄露后出现的钓鱼邮件往往比普通垃圾邮件更具可信度。发件人可能会提及你确实使用的真实服务，邮件可能发送到你实际提供给该平台的地址。对于加密货币用户而言，其目标通常是让你连接钱包、分享助记词或在仿冒页面上登录。
一些实用的警示信号：
- 关于账户或钱包的紧急通知。 声称你必须在数小时内采取行动以避免损失或账户被暂停的消息，是典型的施压手段。
- 索要助记词或私钥。 没有任何合法服务需要这些信息。永远不需要。
- 与实际域名不符的链接。 点击前将鼠标悬停在链接上，检查是否有字母替换或异常结尾。
- 意外的"验证"或"领取"邀请。 空投、退款和补偿通知是事件公开后常见的诱饵。
- 你并未要求的附件。 将未经请求的文件视为可疑内容。
一个好规则是：永远不要通过邮件中的链接访问你的账户。自行输入网址或使用之前保存的书签来打开服务。
受影响用户现在应采取的措施
如果你拥有基金会或任何披露了类似事件的平台的账户，以下几个步骤可以限制损害：
- 更改密码并确保其唯一性。如果你在其他地方重复使用了该密码，也请更改那些账户。
- 开启双重验证，最好使用硬件安全密钥而非短信验证码，后者可能被拦截或重定向。
- 审查已连接的应用和API访问权限。 撤销任何你不认识的内容，并轮换你自己生成的任何密钥。
- 查看官方通知，直接访问平台而非通过邮件链接。
- 关注你的钱包活动，审查你授予智能合约的权限，撤销不再需要的授权。
- 使用单独的电子邮件地址注册加密货币服务（如有可能），这样泄露不会暴露你的主要收件箱。
VPN可以帮助保护你在不受信任网络上的流量，但它无法阻止钓鱼邮件，也无法修复公司服务器上的泄露。上述防御措施在这里更为重要。同样的原则也适用于其他数据收集方面的讨论，例如围绕年龄验证及其所需数据的担忧：服务存储的敏感信息越多，出问题时损失就越大。
为什么被遗忘的数据存储仍是隐藏风险
大多数安全关注都集中在在线产品上。然而，据报此案例指向的是较旧的材料：已超出其用途的备份和仍然有效的凭证。如果侧门未锁，攻击者无需突破最坚固的正门。
对企业而言，教训在于数据卫生：删除不再需要的数据，按计划轮换密钥，监控不属于日常运营的存储。对用户而言，教训是你无法看到平台如何管理其档案。这就是为什么限制你分享的内容很重要。服务持有的关于你的数据越少，日后可能被暴露的就越少。这与其他地方反对大规模数据收集的逻辑相同，包括呼吁停止实时人脸识别：存储的数据往往比收集它的理由存续得更久。
这对你意味着什么
如果你使用基金会或任何加密货币平台，请假设泄露后定向邮件可能会到达你，而且它们可能看起来很合法。据报道超过23,000封恶意邮件的数量表明后续攻击扩展的速度有多快。你不需要恐慌，但你应该现在就加强账户安全，而不是等待可疑邮件到来。
关键要点
- 轮换你的密码和任何API密钥，从与加密货币相关的账户开始。
- 在提供硬件密钥双重验证的地方启用它。
- 对每一封未经请求的钱包、空投或账户邮件保持怀疑，永远不要分享助记词。
- 直接访问服务，而不是点击邮件链接。
- 减少与平台分享的数据，为金融账户使用单独的电子邮件。
基金会数据泄露钓鱼尝试是一个清晰的例子，说明一个被忽视的数据存储如何助长定向诈骗。今天对自己的账户进行一次简短审计是最有效的应对措施。
