韩国加密货币交易所Coinone遭数据泄露：承包商服务器被入侵，11类个人信息可能外泄
2026年11月15日韩国标准时间（KST）上午8:00，Coinone发布了一份公告，确认一名入侵者访问了负责其客户咨询服务的承包商MetaM所属的服务器，并查看或窃取了客户在聊天和电话支持期间留下的个人信息。该公告列出的字段多达11项，其中包括居民登录号、银行账户号码和密码。
Coinone将入侵事件的时间追溯至2026年11月12日韩国标准时间凌晨4:00左右。公司表示，承包商于当天上午9:20左右向其通报了这一情况。从攻击开始到发布公告相隔76小时，而Coinone得知此事到发布公告则相隔70小时40分钟。公告中并未提及公司向韩国互联网与安全局（KISA）、个人信息保护委员会（PIPC）和金融监督院（FSS）提交报告的具体时间，尽管公告中提到了这三个监管机构。
Coinone指出，其账户、交易和钱包系统与承包商的服务器是分开运营的，目前尚未证实对这些系统进行了直接入侵。公告声明，从未开启过支持工单的客户不在泄露范围内。
MetaM服务器存储了哪些内容？
MetaM负责处理Coinone客户中心的咨询业务。咨询记录并非“了解你的客户”（KYC）文件，也不是交易记录。它是客户在尝试恢复账户、撤销存款或解释提现失败时，通过聊天窗口输入的内容或在电话中读取的信息。公告列出了这些记录包含的具体内容：
“咨询使用的电话号码、姓名、电子邮件、出生日期、账户号码、密码、居民登录号、身份证件签发日期、家庭住址、钱包地址和交易ID（TXID）。”
共计11个字段。Coinone明确表示，这是所有可能暴露信息的集合，而非针对每个客户的详细列表，因为每次咨询收集的细节各不相同。受影响客户可以通过公司即将推出的查询服务检查适用于自己的具体项目。
公告的开篇声明直指责任归属：“虽然我们始终将保护客户个人信息作为首要任务，但外部攻击者非法侵入了我们委托负责咨询业务的承包商服务器，导致客户宝贵的个人信息泄露。”
从入侵到公开通知耗时76小时
公告中的三个时间戳可以串联起来：攻击发生在11月12日凌晨4:00左右；承包商的报告于同日上午9:20左右到达Coinone，间隔5小时20分钟；公告本身发布于11月15日上午8:00。
这意味着从入侵到公开披露历时76小时，从Coinone声称得知此事起历时70小时40分钟。包括韩联社在内的韩国媒体在公告发布后约三小时开始报道，这意味着交易所告知其用户的时间早于通讯社告知公众的时间。
与之前的案例相比，这并不光彩。此前报道指出，Bithumb于10月27日检测到其群组软件遭到未经授权访问，并于次日确认泄露，员工数据已暴露，而客户数据范围当时尚不明确。相比之下，Coinone的泄露涉及定义上的客户数据，且其攻击与披露之间的差距是以天为单位计算的，而非小时。
无法重置的四类身份锚点
如果将这11个字段按客户能否进行处理来分类，公告内容会更容易理解。其中有四项是身份锚点，无法随意重新颁发：姓名、出生日期、居民登录号和身份证件上的签发日期。另有四项是凭证或金融标识符，虽可轮换但具有即时的欺诈价值：密码、银行账户号码、钱包地址和交易ID。最后三项是联系向量，可使后续的电话或电子邮件更具说服力：电话号码、电子邮件和家庭住址。
这四类身份锚点是此次泄露中密码重置无法解决的问题。居民登录号是韩国人用于银行、电信和政府服务身份核查的13位标识符，一旦泄露便无法重新颁发。结合姓名、出生日期、银行账户号码和家庭住址，它就构成了令人信服的冒充行为的原材料，这也是公告专门用一节篇幅警告的风险。
为何支持对话记录承载了交易系统未触及的数据？
交易所的交易系统存储余额、订单历史和哈希凭据。而支持对话记录存储的是句子。这两类数据集性质不同，后者之所以存在，是因为需要人类对话让客户证明其身份。
公告中的补救措施部分展示了这一机制的实际后果：“如果在咨询过程中曾口头告知或输入密码，请更改Coinone账户密码，并同时更改在其他网站上重复使用的相同密码。”由于某些咨询过程涉及密码字段，因此该字段出现在泄露数据集中。
这是2026年交易所泄露事件的 recurring shape（常见形态），这更多是供应商问题，而非交易系统问题。此前报道指出，Coinbase在10月的披露事件中，其自身系统未受侵害，漏洞源于分析供应商Amplitude。每次失败的防线都属于持有客户数据副本的第三方，用于支持或分析目的。
Coinone关于系统分离的说法是准确且狭窄的。账户、交易和钱包确实与MetaM服务器分开，因此托管层保持完整。位于该服务器上的是身份层，而身份层正是账户恢复诈骗和语音钓鱼所利用的目标。
300万韩元是法定赔偿上限
公告比大多数泄露披露更详细地阐述了法律途径。根据《个人信息保护法》和《信用信息使用及保护法》，客户无需证明公司的意图或过失即可索赔损害，因为举证责任在于公司。如果能确立故意或重大过失，法院可判处最高五倍实际损失的赔偿。
公告指出：“法定损害赔偿请求：在难以证明损失金额的情况下，可代替上述损害赔偿，在300万韩元以下的范围内请求相当金额。”法定途径允许在损失本身难以证明时，索赔最高300万韩元的合理金额。按照11月15日引用的1美元兑1,336.06韩元的汇率，300万韩元约合2,245美元。分摊到11种暴露的数据类型上，每种数据类型约为204美元。
应将其视为法定索赔的上限，而非预期支付金额，因为法院在该范围内拥有广泛的自由裁量权。这也是公告中将泄露转化为金钱的唯一数字，也是读者最可能用来权衡承包商为其持有记录价值的数字。
公告未提及的事项
有六件事缺失，每件事都影响着客户应有的担忧程度：
- Coinone未披露受影响客户的数量。
- 未说明服务器上存储了多少咨询记录。
- 未说明记录是否处于加密状态。
- 未识别攻击者，也未描述除非法进入外的访问方法。
- 未给出向三个监管机构报告的日期。
- 未列出任何警察投诉，仅列出了韩国互联网与安全局、个人信息保护委员会和金融监督院。
咨询渠道的状态也悬而未决。公告称，外包客服中心已紧急切换为电子邮件咨询。但未说明电话和聊天支持何时恢复，对于试图冻结账户的用户来说，这是一个实际问题而非法律问题。
规模方面也存在缺失。Coinone当时的24小时交易量约为4,540比特币，按接近65,700美元的比特币价格计算，约合2.98亿美元。根据CoinGecko的数据，该平台成立于2016年，信任评分为6/10。支持对话记录的泄露不与交易量成比例，但此类规模的交易所每年处理的工单数量，可以让人大致了解咨询供应商拥有的记录池规模。
Coinone用户应采取的措施
Coinone的登录流程已在每次会话中要求双重验证，通过一次性密码或与注册手机绑定的KakaoTalk验证实现，并且自动阻止来自非官方应用的登录尝试。公告称：“目前，仅凭泄露的部分信息，第三方无法登录您的账户或提取资产。”
这句话是关于平台安全性的陈述，而非客户外部生活的保证。建议采取以下步骤：
- 如果在咨询中曾披露Coinone密码，请更改该密码。
- 在任何其他地方重复使用该密码的服务中更改密码。
- 审查提款地址簿，删除您未添加的条目。
- 将引用咨询细节的任何电话、短信或电子邮件视为冒充尝试。
公司自身的警告设定了其永远不会询问的规则：“在任何情况下，我们都不会通过电话、短信或电子邮件询问密码、OTP号码或验证码，也不会要求虚拟资产提现或更改钱包地址。”
争议和报告可联系以下机构：
- 个人信息纠纷调解委员会：1833-6972 或 kopico.go.kr
- 韩国互联网与安全局运行的隐私侵权中心：118 或 privacy.kisa.or.kr
- 金融监督院：1332
常见问题解答 (FAQ)
Coinone发生了什么？
2026年11月12日韩国标准时间凌晨4:00左右，一名外部攻击者进入了由MetaM（负责Coinone客户咨询的承包商）运营的服务器，查看或移除了存储在咨询记录中的个人数据。Coinone于11月15日韩国标准时间上午8:00发布了公告，列出了可能泄露的11类字段，包括居民登录号、银行账户号码和密码。交易所表示，其账户、交易和钱包系统是独立的，尚未证实对其进行了直接入侵。
在此次泄露中，Coinone账户或加密货币被盗了吗？
Coinone表示没有。其公告指出，会员账户、交易和钱包系统与承包商的服务器分开运营，目前尚未证实对其进行了直接入侵，且仅凭泄露的信息无法用于登录或提现。每次登录都需要双重验证，并且来自非官方应用的尝试会被阻止。调查正在进行中，因此这仍是公司的说法，而非既定结论。
有多少Coinone客户受到影响？
公告中未说明。Coinone尚未公布受影响客户的数量、供应商服务器上持有的咨询记录数量，或这些记录是否处于加密状态。公告指出，没有客户服务中心咨询历史的客户不属于泄露范围，且每个人的泄露情况因咨询而异。
如果我使用了Coinone支持服务，我应该怎么做？
如果在咨询中曾披露Coinone密码，请更改该密码，并在任何其他地方重复使用该密码的服务中更改密码。审查提款地址簿，删除您未添加的条目。将引用咨询细节的电话、短信或电子邮件视为冒充尝试，因为Coinone表示绝不会通过电话、短信或电子邮件询问密码、OTP或验证码，也绝不会要求提现或更改地址。报告可发送至个人信息纠纷调解委员会（1833-6972）、隐私侵权中心（118）或金融监督院（1332）。
这与10月份Bithumb的泄露是同一种类型吗？
两者都涉及第三方系统而非交易所的交易引擎，但数据有所不同。Bithumb的10月事件通过其群组软件平台暴露了员工信息，当时客户数据的范围尚未确定。Coinone的公告描述了客户咨询记录，包括身份和银行详细信息，这使得这次泄露更接近客户层面，不同于早期的案例。
本文中的时间戳均为韩国标准时间（UTC+9）。美元换算使用的是11月15日1美元兑1,336.06韩元的汇率。Coinone的公告以韩语发布，上述引文保留了原文并附有翻译。
