Gate170万美元加密资产被盗成罗生门！不管放中心化还是冷钱包，你的币真的安全吗？

以 犯罪 的立场 看待事物 的真相

以人性的角度分析 案件 的本 质

更懂 WEB3 行业的 法务 自媒体

最近币圈最炸的瓜，就是Gate交易所那桩170万美元加密币失窃案 ：用户说自己全程没碰过手机，从来没发过验证材料，账户里的ETH、稳定币被转得一干二净；平台说所有核验全过了，人脸、短信、身份复核全是合规操作，有完整操作记录。双方各说各话，成了解不开的罗生门，这件事给所有囤币的朋友敲了最大的警钟—— 你放在平台、放在钱包里的币，真的不一定就是你的！

今天把整件事的疑点给大家理清楚，每一个点都关系到你的资产安全，看完你就明白风险藏在哪了：

这件事离谱就离谱在，从 attacker 动手到清空提走，每一步都走了平台要求的完整安全流程，可每一步都透着说不通的蹊跷：

7月4日，有陌生设备发起手机+邮箱双重重置申请，平台这边显示，攻击者通过了活体人脸、短信、原邮箱三重核验，直接改了绑定权限；

第二天，攻击者走客服通道解绑原手机，平台要求提供多年前C2C交易的支付宝录屏做身份复核，攻击者也提交了，后台留了完整记录；

之后几天，攻击者连着改了谷歌二次验证、改了登录密码和资金密码，每一步都过了邮箱验证码，平台全算合规；

到7月7日，攻击者用一台“历史旧设备”登录，分五次把账户里170万美元的加密资产全提走，提币前又过了人脸和谷歌验证，还把提币地址加了免审核白名单——整套流程走完，平台系统全认，用户直到登录才发现钱没了。

可用户拿出的反驳，直接把矛盾拉满：

我日常只用iPhone 16Pro和13，平台记录里做人脸核验的是iPhone 14，我从来没买过这个型号；

凌晨三点传手持证件视频的时候，我在家陪孩子，居家监控能证明我根本没碰手机；

那个好几年前的支付宝交易录屏，我自己都找不到了，从来没发给任何人，所有重置、解绑、改密码的操作，我半毛钱都没碰过。

说白了，这件事最恐怖的点就在这：平台只认“验证步骤过没过”，不认“操作的是不是真的账户本人”。平台说“只有本人能拿出支付宝录屏、能过人脸”，可现在 AI 换脸、信息泄露早就不是什么新鲜事了，只要你的个人信息、旧交易记录漏出去，骗子就能按流程骗过平台的风控，把你的币提走，最后变成“你说你没操作，平台说流程全对”，真相查都查不清，钱没了找谁说理？

借着这个罗生门事件，我必须给所有囤币、放币在平台的朋友，提五个必须记死的安全规则，每一条都是保住你资产的命门：

第一，中心化平台别放大量长期囤的币！

很多人图方便，把几万几十万的币长年累月放交易所，觉得“大平台不会出事”，可就算平台不出问题，碰到这种盗号、风控漏洞，你喊冤都没地方喊。大金额囤币，一定要提到自己的冷钱包，离线存私钥，才是真的自己握得住。

第二，冷钱包、交易所账户的安全验证，别嫌麻烦不开全！

别觉得开二次验证、多重签名麻烦，你少开一道，就是给骗子多留一扇门。谷歌验证、短信验证、邮箱验证全打开，陌生设备登录必须二次核验，提币地址别随便加白名单——加了白名单等于给骗子开绿灯，提币都不用二次审核，太危险。

第三，旧交易记录、身份信息别随便露！

这件事里骗子能拿出用户好几年前的支付宝交易录屏，说明用户的旧聊天记录、交易信息早就泄露了。不管是哪个平台的历史交易截图、个人身份照片，别随便发陌生人，别随便存在云端，旧手机卖之前一定要彻底格式化，别给骗子留可乘之机。

第四，人脸、短信验证不是绝对安全，别轻信平台“流程合规就没问题”！

现在 AI 深度换脸早就能骗过很多平台的活体检测，你的手机卡要是被人补办了，骗子就能直接收你的短信验证码——不要觉得“我开了人脸就没事”，越是大平台，风控越容易只认流程不认人，真的出了问题，最后吃亏的还是你自己。

第五，真碰到账户异常，第一时间冻结账户、留好证据！

要是你发现有陌生设备登录、不是你操作的核验请求，立刻联系平台冻账户，同时把你的不在场证明、设备信息全都截图留好，别等币被提走了再去找平台说，那时候再追回来就难了。

其实做WEB3这么久，我最常跟大家说的一句话就是： 你的钱，只有你自己能守住，不要把全部希望寄托在平台身上。 平台要的是流程合规，出了问题第一时间想的是撇清责任，只有你自己把安全规则做足，把风险想到前面，才能真的保住自己的资产。

这件事现在平台已经重启调查了，我们也等着看最终结果，但不管结果是什么，这个罗生门已经给所有人提了醒： 币圈的安全风险，永远比你想的多，你放松一分钟，骗子就能钻进来。