全文

調查結論必須附上時間

Chainalysis 於 11 月 4 日更新資安事件說明，披露密碼雜湊與有效權杖外洩。這使最初公告的判斷不能繼續當成完整結論。本文依 11 月 6 日讀取的公告討論事件，不把復原計畫寫成已完成，也不推定每個帳戶都遭受相同操作。

閱讀事件更新時，可把「目前知道什麼」與「仍在確認什麼」分開。一份初步公告沒有發現某種影響，表示當時的證據範圍，而非永久排除該影響。若後續證據改變，編輯需要更新相關段落，而不是只在舊結論後加一句調查中。

改密碼與撤銷工作階段不同

OWASP 將驗證身分、工作階段及存取控制視為相互連結的機制。一般網站在登入後以權杖維持狀態，並非每次請求都重新輸入密碼。因此，更換密碼與讓已建立的工作階段失效，應分別驗證；實際行為取決於服務設計，不能從按鈕名稱推定。

假設某服務讓使用者改完密碼，舊瀏覽器仍可讀取資料，就不能只用「密碼已更新」證明所有存取都已收回。這是假設情境，不是本案重建。檢查應涵蓋舊工作階段、裝置及整合服務，並確認各種憑證的撤銷結果。

復原流程也要考慮工作依賴

企業帳戶可能同時支援人員登入與自動化作業。假設一家公司更換整合服務的金鑰，卻沒有同步更新排程設定，資料處理可能停止；反過來，為了維持運作而長期保留舊金鑰，又可能留下不必要的存取。這是復原時需要協調的依賴問題。

較清楚的作業紀錄會列出哪個服務使用哪種憑證、誰負責替換、何時驗證，以及失敗時如何處理。重點不是把所有設定一次改完，而是讓新憑證可用、舊憑證失效與作業恢復三項結果都有證據，避免只記錄已寄出通知。

恢復連線不是調查結束

假設登入頁重新開放，這只能證明一項可見功能恢復，不能自動說明資料範圍、攻擊途徑與所有後續影響都已釐清。本站的判斷是，營運恢復與調查結論應分別追蹤；前者處理能否工作，後者處理發生什麼及如何降低重演機會。

對讀者而言，可靠的後續資訊應清楚列出新增證據、仍未知事項與需要採取的動作。本文不據此判定攻擊者身分、個別帳戶損失或現時服務可用性。若要實際處理帳戶，應回到官方管道核對當時有效的復原安排。