我的钱在 Coinbase 上安全吗？如果他们被黑客攻击会发生什么？

Coinbase 的安全基础设施

1. Coinbase 采用多层安全架构，其中包括 98% 以上的客户资产的冷存储，这意味着绝大多数数字资产处于离线状态，远程攻击者无法访问。

2. 该平台在所有数据传输和存储层均使用机构级加密标准，包括静态数据的 AES-256 加密和传输中数据的 TLS 1.3。

3. 物理安全措施包括生物识别访问控制、24/7 监控以及管理加密密钥的硬件安全模块 (HSM) 的地理分布式保管库。

4. 内部系统强制执行严格的基于角色的访问控制 (RBAC)，对任何涉及资产移动或配置更改的高权限操作都采用强制多人审批工作流程。

5. 由 Trail of Bits 和 Cure53 等经过认证的公司定期进行第三方渗透测试，并全面公开披露调查结果和补救时间表。

保险范围和资产保护

1. Coinbase 持有由伦敦劳合社和其他主要运营商承保的犯罪保险单，涵盖热钱包中的数字资产，防止因网络安全漏洞而导致的盗窃。

2. 保险单不涵盖因用户错误、针对个人账户的网络钓鱼攻击或通过受损凭证发起的未经授权的交易而造成的损失。

3. Coinbase 账户中持有的法定货币余额可通过 FDIC 直通保险为每位客户提供最高 250,000 美元的保障，前提是这些客户符合资格标准并持有在合格的美元存款账户中。

4. 托管钱包持有量与 Coinbase 的公司资产负债表分开，确保在破产时，客户资产在法律上保持清晰并可在破产程序下收回。

5. 纽约州金融服务部 (NYDFS) 等实体的监管要求 Coinbase NY Inc. 等持牌实体每季度对储备持有量和托管合规性进行证明。

历史事件响应记录

1. 2019 年，一次有针对性的社会工程攻击泄露了少量员工凭证，但由于分层身份验证保护措施和实时异常检测系统，没有任何客户资金被访问。

2. 在 2022 年 LUNA/UST 崩盘期间，Coinbase 先发制人地暂停了某些保证金交易功能，并保留了完整的提现功能，避免了其他平台所经历的流动性短缺。

3. 2021年API密钥泄露事件影响不到0.01%的活跃用户； Coinbase 在 90 分钟内轮换了所有受影响的密钥，并在全行业范围内实施了更严格的 API 权限范围。

4. 自2012年成立以来，该公司的冷存储基础设施从未遭受过成功的破坏，保持着冷钱包泄露零损失的记录。

5. 事件响应手册通过红队模拟每半年进行一次测试，涉及工程、法律、通信和合规部门之间的协调努力。

用户控制的风险因素

1. 对于许多帐户操作来说，双因素身份验证仍然是可选的，这使得跳过短信或身份验证器应用程序设置的用户容易受到 SIM 交换和会话劫持攻击。

2. 电子邮件帐户泄露是未经授权的帐户访问的最常见途径，因为密码重置通常依赖于未加密的电子邮件通道，无需额外的验证步骤。

3. 据观察，被 Coinbase 内部威胁情报团队标记为恶意的浏览器扩展在受感染的机器上进行交易签名期间会注入虚假的提款地址。

4. 用于访问 Coinbase 帐户的共享设备或公共计算机会增加遭受键盘记录恶意软件和绕过标准登录保护的缓存会话令牌的风险。

5. 如果设备故障同时伴有忘记密码和禁用双因素选项，则在本地存储恢复短语而没有气隙备份的用户将面临永久损失的风险。

常见问题解答

问：Coinbase 持有我的私钥吗？是的。使用 Coinbase 的托管钱包时，该平台会管理您的私钥。除非您使用 Coinbase 钱包（一种非托管产品，密钥仅驻留在您的设备上），否则您无法直接访问它们。

问：Coinbase 可以在没有通知的情况下冻结我的账户吗？是的。根据其用户协议，如果 Coinbase 检测到违反反洗钱 (AML) 政策、可疑活动模式或您所在司法管辖区的监管要求的行为，则可以暂时或永久限制账户访问。

问：质押资产的保护方式是否与常规余额相同？不会。质押资产受到特定于网络的削减条件和验证器性能风险的影响。 Coinbase 的保险范围不适用于协议级别处罚或与停机相关的质押奖励没收造成的损失。

问：如果 Coinbase 申请破产，我的资产会怎样？根据美国破产法，托管资产被视为信托财产。法院指定的受托人将监督可识别客户资产的分离和返还，尽管延误和管理成本可能会影响最终的恢复时间表。