加密服务商发生数据泄露：德国用户的权利与应对指南
如果一家加密货币服务商报告了数据泄露事件，作为德国的客户，你立即拥有两项权利：根据《通用数据保护条例》（GDPR）第15条，你可以查询关于你的哪些数据被存储；根据第82条，你可以要求赔偿。德国联邦法院（BGH）裁定，仅仅失去对自己数据的控制权就足以构成索赔理由，并明确批准在此类情况下约100欧元的赔偿。如果你能证明具体的损害，还可以获得更高的赔偿。
这个问题目前非常具有现实意义。10月底，两家加密货币行业的服务商确认发生了数据泄露，且涉及的信息对于加密货币投资者来说比在线商店中的电子邮件地址更为敏感。本指南将解释数据泄露在何时产生索赔权、如何主张该权利，以及为什么泄露后最重要的一步是保护你的加密货币资产，其次才是联系律师。
10月底Wagyu和Chainalysis的数据泄露：哪些加密数据被泄露？
第一个案例涉及交换服务Wagyu。交换服务允许你在不创建身份验证账户的情况下，将一种代币兑换为另一种：你将比特币发送到存款地址，并在你选择的地址接收门罗币（XMR）。根据安全公司Hudson Rock的分析，贸易门户网站Forklog于10月29日报道，数据集包含来自2026年7月18日至10月26日的38,628条订单记录和10,139个唯一IP地址。在4,580笔标记为“已完成”的门罗币订单中，存款交易、接收地址和IP地址同时出现。服务团队确认了此次泄露，并表示客户资金未受影响。详情见我们关于Wagyu数据泄露的报告。
第二个案例层级更高。区块链分析公司Chainalysis在其自身的安全通知中于10月30日表示，攻击者访问了其客户中使用该软件的人员的用户ID、全名、电子邮件地址和职位头衔。据该公司称，调查内容、密码和会话密钥未受影响。零售投资者通常不在此数据集中。对你的风险是间接的：合规部门的真实姓名是制作令人信服的钓鱼邮件的原材料，正如我们在关于Chainalysis事件的文章中所述。
这两个案例展示了本指南所关注的模式：服务商丢失数据，而客户首先承担后果。
为什么数据泄露对加密货币投资者的影响重于在线商店
来自在线商店的数据集揭示了你购买了什么。来自加密货币行业的数据集往往揭示了你拥有什么。任何人只要知道你的钱包地址，就可以在公共区块链上查看那里有多少金额以及它们何时移动。加上姓名、家庭地址或IP地址，一个匿名的地址就变成了拥有已知财富的个人。
这产生了三个你应该区分开的风险：
- 网络钓鱼：利用泄露的真实细节伪造电子邮件、短信或电话，试图诱使你输入助记词或进行“安全转账”。
- 去匿名化：地址与身份的链接是永久性的。特别是对于旨在保密的隐私币门罗币，中介机构的泄露破坏了区块链的保护。
- 人身威胁：门口的勒索，即所谓的“扳手攻击”，需要作案者知道谁持有多少资产。10月10日我们报道了在法国七个月内发生了90多起此类绑架案件。
在法律上，这种严重性很重要，因为它有助于确定赔偿金额的高低。在实践中这意味着：泄露发生后，你先保护资产，然后再处理来自服务商的资金索赔。
GDPR第82条：何时数据泄露会产生赔偿请求权
法律依据是《通用数据保护条例》第82(1)条。因违反条例而遭受物质或非物质损害的任何人均有权向控制者索取赔偿。控制者是决定数据处理目的和方式的公司，因此在加密货币交易所的情况下，即为交易所本身。
要提出索赔，必须满足三个要素：
- 违反GDPR：在数据泄露中，这通常是GDPR第32条规定的通过适当的技术和组织措施保护个人数据的义务。
- 损害：仅违反规定是不够的。欧洲法院在2023年5月的C-300/21案中明确了这一点，同时拒绝设定实质性门槛：即使是轻微损害也算作损害。
- 因果关系：损害必须源于这一特定的违规行为。
举证责任对你很重要。未知方获取数据的事实本身并不能证明提供商违反了其保护义务。欧洲法院在2023年12月的C-340/21案中做出了这样的裁决。然而，在同一裁决中，提供商必须证明其安全措施是适当的。只有当提供商根据GDPR第82(3)条证明其对事件没有任何责任时，才不承担责任。最终，数据泄露是否值钱由法院决定，而提供商负有证明其安全性充分的举证责任。
联邦法院判决VI ZR 10/24：失去控制权即足够，量级约为100欧元
最重要的德国判决日期为2024年11月18日。案件VI ZR 10/24涉及2021年的Facebook数据抓取事件，其中约5.33亿用户的数据被发布。科隆高等地区法院驳回了索赔，理由是单纯的失去控制权不构成损害。但联邦法院持不同观点，如其新闻稿第218/2024号所记录。
失去控制权意味着：你的数据落入他人手中，你无法再决定谁使用它。根据联邦法院的观点，即使是短暂且轻微的失去控制权也可以被视为非物质损害。不需要发生具体的滥用行为，你也不需要证明任何进一步的明显后果。关于金额，法院表示，在该案的具体情况下，将单纯失去控制权的赔偿设定在100欧元左右没有法律障碍。
从中吸取两点教训。首先，索赔是真实的，但对于单纯的失去控制权而言金额较小。其次，你必须证明你的特定数据受到影响。如果没有受到影响的证据，就没有索赔权，而这正是你需要下一节中访问权的原因。联邦法院还承认，受影响的人可以获得声明，证明提供商也对未来的损害负责。这对于加密数据很有价值，因为网络钓鱼攻击可能在泄露后几个月才发生。
非物质损害与物质损害：何时可能超过100欧元
两种损害类型的区别对金额至关重要。物质损害是可衡量的财务损失，如被盗的硬币、新身份证的费用或法律费用。非物质损害涉及幸福感和日常生活，如焦虑、烦恼或不断筛选可疑消息的精力消耗。
如果你能证明不仅仅是失去控制权，金额可能会超过100欧元。在C-340/21案中，欧洲法院承认，对未来滥用的合理恐惧本身就可以构成非物质损害。对于加密货币投资者来说，如果姓名、地址和持仓量一起暴露，这种恐惧比其他许多泄露事件更合乎情理。然而，纯粹假设的风险是不够的。法院要求你具体描述对你造成的后果。
因此，从第一天开始保持以下列表会有所帮助：
- 带有日期、发件人和内容的每封网络钓鱼电子邮件、短信或电话，最好有截图；
- 你产生的费用，例如新硬件钱包、新身份证或咨询费的收据；
- 更改密码、转移硬币和通信所花费的时间；
- 如果实际发生损失，提供交易ID和警方报告。
如果在泄露后硬币实际上被盗，这等同于其价值的物质损害。但你还必须证明盗窃是由泄露引起的，而不是由于你自己保管不当造成的错误。如何在泄露后识别虚假消息，请参阅我们关于数据泄露后网络钓鱼的指南。
GDPR第15条访问权：服务商必须移交哪些数据
在提出任何索赔之前，先查明关于你的数据被存储了什么。GDPR第15条赋予的访问权使你有权确认服务商是否处理关于你的数据，如果是，则有权获得该数据的副本。这包括处理的目的、接收者、计划的存储期限以及数据来源（如果来源不是你自己）。第一份副本是免费的。
根据GDPR第12(3)条，服务商必须毫不拖延地回复，最迟在一个半月内。对于复杂的请求，它可以延长两个月，但必须在第一个月内告知你并说明理由。
对于加密货币交易所的客户，有针对性地提出请求是值得的。不要只询问“所有数据”，而是明确要求以下要点：
- 报告的事故中影响了你的哪些数据；
- 是否包括钱包地址、交易数据或账户余额；
- 是否影响身份证复印件、身份验证自拍或地址证明；
- 数据被传递给哪些服务提供商，例如用于身份验证或运输。
通过证明收到的途径发送请求，例如通过电子邮件发送至隐私政策中给出的地址，并抄送数据保护官。注明日期。如果你后来索赔赔偿，回复也是你最有力的证据。
GDPR第33条和第34条：数据泄露后服务商的通知义务
泄露发生后，GDPR要求服务商进行两项单独的通知。根据第33条，它通常必须在72小时内向主管监管机构报告泄露事件。根据第34条，如果泄露可能导致你的权利和自由面临高风险，它必须毫不拖延地通知你作为受影响的人。
该通知必须以清晰通俗的语言描述发生了什么、可能的后果是什么以及服务商采取了哪些措施。它还必须指定联系人，例如数据保护官。一封仅提及“安全事件”且未命名任何数据类别的电子邮件几乎不符合这些要求。
对你而言，通知有两面性。一方面，它证明你的数据受到影响。另一方面，它是骗子最喜欢的工具：几乎每次重大泄露后，都会出现虚假通知，引导你进入克隆网站进行“账户审查”。因此，请通过你自己知道的途径（即浏览器中保存的交易所地址）检查每份通知，切勿通过电子邮件中的链接进行操作。
市场所在地原则：GDPR是否也适用于欧盟外的加密服务商？
许多加密货币服务位于欧盟之外。然而，GDPR通常通过第3(2)条的市场所在地原则适用。根据该原则，即使公司在欧盟没有设立机构，如果它们向欧盟人员提供商品或服务或监控其在欧盟的行为，法规同样适用。拥有德语界面、欧元支付方式或在德国进行针对性广告的服务显然是在那里提供服务。
问题在于执行。加勒比岛上的提供商不会因为德国法院对其作出判决而付款。来自第三国的公司必须根据GDPR第27条在欧盟指定代表，但许多小型服务并未这样做。对于没有账户且不知晓公司地址的交换服务，纸面上的索赔往往是终点。
这就是基于或许可在欧盟的服务商具有切实优势的地方。任何根据MiCA监管获得许可的公司都在欧盟有送达地址，并且有 competent 的主管机构可供联系。受监管加密货币交易所的比较概述了拥有欧盟授权的服务商。法律立场也有助于IP地址：自2016年以来，欧洲法院已将动态IP地址归类为个人数据，因此它们受GDPR保护。
当姓名、地址和持仓量一起暴露时，数据泄露也成为了家庭安全问题。
向数据保护当局投诉及赔偿的诉讼时效
除了民事索赔外，根据GDPR第77条，你有权向监管机构投诉。在德国，州数据保护当局负责私营公司，你可以联系自己所在联邦州的当局。投诉是免费的。它不会给你带来金钱，但可以触发对提供商的罚款和命令，有时还能产生有助于你后续索赔的信息。
对于赔偿请求本身，德国适用《德国民法典》第195条规定的三年标准诉讼时效。根据第199条，该期限从请求产生且你知道它的年底开始计算。对于你在2026年10月知道的泄露，期限因此持续到2029年底。你不需要急于求成，但应立即保存新鲜证据。
诉讼是否值得取决于个案。如果争议金额仅为几百欧元，如果你败诉，成本很快就会超过收益。拥有数据保护覆盖的法律费用保险可以降低此风险。此外，自2023年10月以来，消费者协会可以通过救济行动集体执行许多受影响者的索赔。在大规模泄露事件中，值得检查消费者咨询中心是否正在开展此类程序。
泄露后的网络钓鱼：保管比任何赔偿都能更好地保护你的硬币
与所涉利益相比，100欧元的赔偿微不足道。任何人在泄露后将助记词输入虚假网站，可能会失去全部持仓，而没有任何法院会补偿他们。因此，资产保全优先于索赔。
最重要的规则是：没有声誉良好的提供商会询问你的种子短语。种子短语是从中可以恢复所有钱包密钥的通常由12或24个单词组成的序列。任何人知道它就拥有你的硬币。无论发件人和设计看起来多么真实，任何要求提供它的消息都是骗局。
如果你的硬币由报告泄露的提供商持有，那并不是恐慌的理由。数据泄露本身并不意味着余额处于风险之中。然而，这是一个很好的机会来检查大额资金是否真的需要留在交易所。使用硬件钱包，私钥保留在不连接互联网的设备上。哪些设备合适，请参阅我们的硬件钱包比较。
如果攻击者知道你的钱包地址，转移到新地址会有所帮助。旧地址在数据集中仍与你的姓名相关联，而新地址则不会。对于比特币，这种转移只需支付一笔交易费。确保你不要通过相同的服务再次将新地址与你的身份联系起来。以Revolut数据为例，泄露后的针对性网络钓鱼是什么样子的，请参阅我们关于Revolut数据泄露的文章，该文章还解释了银行如何承担新身份证的费用。
数据泄露赔偿：先锁定硬币，然后在三年内索赔
请求访问并确保证据。按照上述有针对性的问题向提供商发送GDPR第15条访问请求，注明日期并保存每条可疑消息。对于欧盟许可的提供商，你知道写给谁以及哪个监管机构负责：我们对受监管加密货币交易所的比较显示了谁拥有许可证。
审查你的保管方式。大额资金不应永久存放在交易所。将它们转移到你自己的硬件钱包和新地址。我们的硬件钱包比较比较了设备、价格和安全功能。
重新设置你的日常钱包。对于经常移动的小额资金，与其继续使用旧地址，不如创建一个带有新种子短语的新软件钱包。哪款应用程序合适，请参阅我们的软件钱包比较。然后你可以平静地索赔；期限从年底起运行三年。
（截至2026年11月2日。本文不构成投资建议。价格和费用结构会发生变化；购买前请与提供商核实条款。）
