Coinbase 用户被盗案追踪：这不是智能合约漏洞，而是一场社会工程骗局

现有公开证据更支持这样一种判断：这起案件背后是一个尚未确认身份、以牟利为目的的网络钓鱼或社会工程操作者，也不排除是多个操作者组成的团伙，而不是已经被证实利用 Coinbase 智能合约漏洞的黑客。

最新报道显示，8 月 16 日约 50 万美元加密货币被兑换成以太币（ETH），随后通过 Tornado Cash 转移；约三周前，相关资金还曾进行过一笔约 200 万美元的类似操作。报道同时称，关联钱包中仍有数千万美元资产。

不过，案件归因仍属暂时性判断。区块链分析平台使用的“Coinbase hacker”（Coinbase 黑客）标签，本质上是对钱包关联关系的分析假设，并不是法院认定或执法机构公布的法律结论。外界所说的“超过 3 亿美元”，也是调查人员或媒体根据受害者报告和链上交易作出的损失估算，不能证明所有 Coinbase 用户被盗事件都由同一人或同一团伙实施。

这些 Coinbase 用户是如何被盗的？

据报道，攻击者通常冒充 Coinbase 客服，通过电话、短信或其他渠道联系受害者，再利用紧迫感和看似真实的个人信息施压，诱使用户泄露登录凭据、批准交易、转移资产，或以其他方式交出账户控制权。相关调查明确将这类案件与智能合约漏洞区分开来。

两者的区别非常重要：

• 智能合约攻击通常是利用链上应用程序代码或业务逻辑中的缺陷。
• 客服冒充骗局则是操纵账户持有人本人，让其授权或协助完成转账。

换言之，攻击者瞄准的并不一定是 Coinbase 的区块链基础设施，而是用户对“客服身份”的信任、判断和操作。只要对方掌握足够的个人信息，再加上精心设计的话术，骗局就可能显得非常可信。

“超过 3 亿美元”的损失估算意味着什么？

2025 年 2 月，区块链调查人员 ZachXBT 和 tanuki42 表示，2024 年 12 月至 2025 年 1 月期间，Coinbase 用户损失的加密货币已超过 6500 万美元；他们还估计，类似社会工程骗局造成的年度损失可能超过 3 亿美元。两人的分析参考了受害者报告和链上活动，但也承认现有数据并不完整。

2025 年 5 月的另一份报告则称，Coinbase 用户仅在一周内就因协调实施的社会工程骗局损失约 4500 万美元。 这些数字说明，相关攻击可能具有持续性和组织性，但不能单凭金额就证明所有事件、所有钱包或最新的 Tornado Cash 转账都由同一个操作者控制。

一项调查还发现，一个资金归集地址与超过 25 名受害者有关。这样的地址聚类有助于调查人员把不同交易连接起来，并识别潜在的攻击活动模式；但它仍属于间接归因，不能单独证明操作者的现实身份。

Coinbase 客户数据事件：重要背景，但不能证明是同一批人

2025 年 5 月，Coinbase 披露称，犯罪分子曾贿赂部分海外客户支持人员，以获取客户信息。这些数据据称被用于冒充 Coinbase，诱骗用户发送加密货币。Coinbase 估计，修复事件及自愿向客户赔偿的成本可能在 1.8 亿至 4 亿美元之间。

如果诈骗者掌握用户姓名、联系方式或账户相关信息，客服冒充电话自然会更具说服力。因此，这起数据事件与社会工程风险存在明显的关联性。

但就目前提供的公开证据而言，还无法证明窃取客户数据的犯罪分子，与控制这些被盗资金钱包的操作者是同一批人。两者应被视为相关的风险背景，而不是已经确认的共同归因。

“L bozo”嘲讽调查人员：说明行为，不等于暴露身份

2025 年 5 月，一个被调查人员认为与 Coinbase 钓鱼活动有关的钱包，通过 THORChain 将约 4250 万美元比特币兑换成以太币。该钱包还向链上调查人员 ZachXBT 发送了一条写着“L bozo”的消息。

这句话是网络俚语，大意是嘲讽对方“输得很惨”或“真丢人”。它说明钱包控制者愿意公开挑衅调查人员，但并没有证明其姓名、所在地，也没有证明其与所有被归因于该活动的盗窃案有关。

为什么资金进入 Tornado Cash 后更难追回？

加密货币混币器的作用，是让资金从存入地址到提取地址之间不再呈现简单、直观的一一对应关系。Tornado Cash 通过共享资金池和隐私保护机制，使一笔资金可以从一个地址存入，之后由另一个地址提取。

这并不意味着区块链记录完全消失，而是意味着原本清晰的“从哪里存入、后来去了哪里”的链路变得更难确认。调查人员仍可分析：

• 存入和提取的时间间隔；
• 交易金额和分批转账模式；
• 钱包的重复操作行为；
• 跨链桥和去中心化交易所活动；
• 交易所或其他托管平台的入金地址。

这些信息可能帮助调查人员建立关联，但“链上相关”不一定足以确认现实身份，也不一定足以说服交易所或法院冻结资产。资金越长时间停留在缺乏明确身份的非托管地址中，追回难度通常越高。

2024 年 11 月 Tornado Cash 判决改变了什么？

2024 年 11 月 26 日，美国第五巡回上诉法院裁定，美国财政部海外资产控制办公室（OFAC）在制裁 Tornado Cash 的不可变智能合约时，超出了相关法律授予的权限。法院认为，这些智能合约不属于相关法律下可以被封锁的“财产”。

这项判决针对的是制裁措施的法律依据，并不意味着：

• 盗窃或洗钱行为被合法化；
• 资金转入混币器就不会产生刑事责任；
• 通过混币器转移的资金能够轻易追回；
• 任何使用混币器的人都因此被证明无罪或有罪。

换言之，法院对 OFAC 制裁权限的判断，与具体盗窃、洗钱行为是否违法，是两个不同的问题。

Coinbase 用户最应该警惕什么？

这起案件最值得警惕的，并不是某个神秘的 Coinbase 区块链故障，而是电话、短信或链接另一端那个听起来“很像客服”的人。

用户应当：

• 将主动来电、短信和私信中的“Coinbase 客服”视为高风险接触；
• 绝不透露密码、助记词、一次性验证码或私钥；
• 绝不按照所谓客服要求授予设备远程控制权限；
• 不要点击意外收到的客服链接；
• 需要帮助时，通过官方 Coinbase 应用，或自行输入官方网站地址联系支持团队；
• 一旦发生盗窃，立即保存聊天记录、电话号码、钱包地址和交易哈希，并尽快报告。

8 月的资金移动表明，与这起报道中攻击活动相关的资产仍可能处于活跃状态。但更重要的结论其实很简单：即使技术防护足够强，只要攻击者成功说服合法用户授权转账，社会工程仍然可能绕过这些防线。