克拉肯(Kraken)爆內部人濫用客戶支援資料遭勒索　強調資金安全、拒向犯罪組織妥協

美國第二大加密貨幣交易所「詞」克拉肯(Kraken)近期爆出「詞」內部人員濫用權限、未經授權存取客戶支援資料，並遭「詞」犯罪組織以此進行勒索。公司強調「系統未遭入侵、資金安全無虞」，但「詞」內部人風險、「詞」客戶資料保護與「詞」加密貨幣交易所資安管理，再度成為市場焦點。根據 Reuters 報導，於 13 日（當地時間），克拉肯選擇公開攤牌，表明「不會向勒索者妥協或支付任何費用」，試圖以高強度回應危機，維繫平台信任。

根據 Reuters 13 日（當地時間）的報導，克拉肯首席資安長尼克・帕科科（Nick Percoco）表示，一個「詞」有組織犯罪團體聲稱掌握與克拉肯系統相關的影片資料，並以公開為要脅，企圖勒索金錢。克拉肯在內部調查後，發現自 2025 年以來，曾發生兩起「詞」不當存取「詞」客戶支援資料的事件，涉及範圍屬於「受限等級」的客服資訊。公司已將相關帳號全面停用，並向受影響「詞」客戶發出通知。

帕科科強調，事件影響的僅為「少數帳號」，推估約有 2,000 個客戶帳戶的部分資料可能遭到暴露。他同時重申，核心「詞」交易系統並未遭到入侵，平台內「詞」用戶資金也未出現異常提領或損失跡象。克拉肯試圖將事故界定為範圍有限的「客服資料濫用事件」，而非全面性的系統性駭侵。

不過，這次事故引發關注的關鍵，在於其疑似來自「詞」內部人員或擁有合法權限者的濫用行為，而非傳統意義上的外部駭客攻擊。根據克拉肯說法，調查起點是一段出現在外部論壇上的影片，內容顯示有人操作與平台內部工具相關的畫面。公司循此追查，進一步鎖定另外一個類似案例，並隨即採取封鎖帳號、清查權限與通報客戶等後續措施。

當勒索行為浮上檯面後，克拉肯選擇主動公開，表態「不會向犯罪份子付款」，等於明確拒絕與勒索方談判。「評論」從資安策略角度來看，拒絕付款有助降低未來被鎖定為「容易妥協目標」的風險，但也意味著平台必須承擔潛在資訊遭公開的壓力，對「詞」品牌與信任度是一場高風險的攻防。

在業界內部，這起事件被視為對「詞」加密貨幣交易所「詞」客服外包與海外支援團隊管理的一次警鐘。許多交易所會將「詞」客戶支援或稽核作業外包給第三方或設置海外團隊，這類單位通常擁有一定層級的後台存取權限。一旦管理與監控機制不到位，「詞」內部人風險便會成為資安中的最大變數。

社群平台 X 上已有用戶質疑，克拉肯將事件定調為「少數帳戶受影響」，恐怕淡化了問題本質。有評論指出，即便只有部分客服資料外洩，也可能暴露使用者的姓名、電子郵件、客服紀錄等敏感資訊，為後續「詞」釣魚郵件、「詞」社交工程攻擊提供素材。「評論」在高度依賴線上互動的加密貨幣市場，這類「周邊資訊」外洩，同樣足以構成實質風險，而不應僅以「沒有資金損失」作為安全與否的唯一標準。

市場也不免將本次克拉肯事件，與過去「詞」Coinbase( COIN )的內部資料外洩案例相互對照。此前，Coinbase 曾披露，一名海外合約制客服人員利用其「詞」內部工具權限，非法存取部分客戶資訊，隨後同樣遭到不法人士以「掌握資料」為由勒索。該事件在當時引發監管與投資人對「詞」加密貨幣交易所「詞」內部控管、資訊揭露與通報流程的質疑，成為推動交易所強化「事件通報與透明度」的代表性案例。

在兩起事件被並列討論之下，市場對於「詞」交易所如何定義「重大事件」、何時對外說明、揭露內容要到什麼程度，出現更高期待。部分投資人認為，僅以「受影響帳戶數量有限」作為安撫市場的說法，已難以滿足當代投資人對資安透明的要求。「評論」對於管理「詞」數百萬用戶資產的機構而言，如何在不放大恐慌的前提下，做到及時且具體的資訊披露，已成為關鍵競爭力之一。

值得注意的是，克拉肯近期才獲得美國聯邦儲備理事會(Fed)批准，成為首家可直接接入「詞」聯準會核心支付系統的加密貨幣企業，象徵其在「詞」主流金融體系中的地位獲得一定程度承認。然而，這起「詞」內部人威脅與「詞」客戶資料管理疑慮，也同步提醒市場：在成長迅速、版圖擴張的同時，「詞」交易所的資安架構、身分與權限管理、以及外包團隊控管，必須同步升級，否則易成為發展中的薄弱環節。

從更宏觀的角度來看，本次事件再度凸顯「詞」客戶資料保護、「詞」內部控制與「詞」資訊透明度，已成為加密貨幣產業「詞」投資人信心的關鍵變數。隨著監管關注度持續升高，未來市場可能更重視交易所是否具備「最小化權限」、「零信任架構」、持續監控內部存取紀錄，以及在事故發生時，能否快速通報、具體說明與明確承諾補救措施。「評論」對於想在合規與主流金融體系中取得一席之地的交易平台而言，如何把「安全」與「信任」變成長期可見的制度與流程，而非只在事故發生時空喊口號，將是能否留住用戶與機構資金的真正考驗。