日本加密交易所 Zaif 因第三方服务商遭入侵，38 万客户邮箱地址泄露
日本加密交易所 Zaif 于 11 月 4 日公告，第三方邮件服务商 Arara 遭未授权访问，导致客户邮箱地址泄露，其中吴说称是 380,536 个，PANews 称约 38 万个（去重后）。Zaif 称泄露数据仅限邮箱，不含姓名、交易记录和密码；Arara 服务暂停期间，Zaif 已停发邮件，并提示客户警惕钓鱼邮件。
事件时间线
- [11-05 01:57] 日本加密交易所 Zaif 因第三方服务商遭入侵，38 万客户邮箱泄露（吴说）
- [11-05 02:01] 日本加密交易所Zaif因第三方服务商遭入侵，约38万客户邮箱地址泄露（PANews）
背景与影响
日本加密交易所 Zaif 于 11 月 4 日发布公告称，其第三方邮件服务商 Arara 遭到未经授权的访问，导致客户邮箱地址泄露。时间线如下：Zaif 在 11 月 2 日先行披露潜在泄露风险，随后收到服务商确认，并于 11 月 4 日获得受影响的邮箱地址名单，同日对外公布。相关报道在 11 月 5 日由吴说、PANews 发出。
关于受影响规模，两家信源的表述存在差异。吴说给出的数字是 380,536 个客户邮箱地址；PANews 表述为约 38 万个客户邮箱地址，并注明这是去重后的数量。Zaif 方面说明，提供给该服务商的数据仅包括邮箱地址，不涉及客户姓名、住址、交易记录或密码；目前未发现 Zaif 自身系统遭到未经授权的访问，仅凭邮箱地址无法登录账户，也尚未确认资产受损等二次损害。
由于 Arara 服务暂停，Zaif 已暂停邮件发送。交易所提醒客户警惕冒充 Zaif 或 Arara 的钓鱼邮件，不要点击邮件中的链接，也不要输入认证信息，并建议改用认证应用进行双重验证。
从影响面看，此次事件的核心风险不在账户资产本身，而在于邮箱地址被用于定向钓鱼。泄露发生在第三方服务商环节，而不是交易所自有系统；这意味着外包服务的权限边界与供应商的安全能力，同样构成交易所风险的一部分。对用户而言，在 Arara 服务恢复、Zaif 邮件通道重启之前，凡是声称来自 Zaif 或 Arara、要求点击链接或提交认证信息的邮件，都应视为可疑。无论是日常登录，还是在网上查找火币邀请码、芝麻开门开户折扣、Bitget 开户折扣、Binance 注册优惠、OKX 注册优惠一类信息时，核对域名与来源、不通过邮件链接进入账户，都是更稳妥的做法。截至报道时，Zaif 与 Arara 均未公布进一步的处理时间表。
常见问题
这次泄露涉及哪些数据，会影响账户资金吗？
据 Zaif 说明，泄露数据仅限邮箱地址，不含姓名、住址、交易记录或密码；仅凭邮箱无法登录账户，目前未确认资产受损等二次损害，也未发现 Zaif 自身系统被入侵。
收到疑似 Zaif 或 Arara 的邮件该怎么处理？
Zaif 已提醒客户警惕冒充其或 Arara 的钓鱼邮件，不要点击链接或输入认证信息，并建议改用认证应用进行双重验证。在邮件服务恢复前，任何索要认证信息的邮件都应视为可疑。
后续需要关注哪些节点？
一是 Arara 暂停服务何时恢复、Zaif 何时重启邮件发送；二是 Zaif 与 Arara 是否公布进一步调查结果或处理时间表。截至报道时，双方均未给出明确时间安排。