美国 BitcoinIRA 与 iTrustCapital 疑似数据泄露：加密 IRA 平台客户信息保护与合规义务解析

核心摘要

链上侦探 ZachXBT 于 2026 年 8 月 24 日披露，美国两家加密 IRA 投资平台 BitcoinIRA 与 iTrustCapital 今年疑似发生数据泄露，且均未公开披露。

泄露数据据称包含用户个人资料、投资组合持仓、银行与托管账户信息及身份验证状态等敏感记录。

攻击者 “Tiffany”（Tiffany Milanovich，ZachXBT 于 8 月 10 日报告中指认）曾于 2026 年 6 月利用相关数据库针对一名 BitcoinIRA 用户盗取逾 120 万美元。

ZachXBT 已于 8 月 21 日联系两家公司寻求回应，截至发稿未获回复，事件真实性仍待双方确认。

若泄露属实，两家平台将触发美国金融监管下的客户记录保护、违规通知与托管隔离等多重合规义务。

📑 文章目录

事件概述 — ZachXBT 披露与泄露数据范围
涉事平台与牌照定位 — 加密 IRA 模式与合格托管架构
合规义务拆解 — Reg S-P、GLBA 与州级泄露通知
对持牌机构的影响判断 — 信息披露与监管关注

本文由 Aiying 艾盈合规团队原创，转载需授权。

链上调查者 ZachXBT 于 2026 年 8 月 24 日发文称，其审查的证据显示美国两家加密投资平台 BitcoinIRA 与 iTrustCapital 今年疑似发生数据泄露，但两家公司目前均未公开披露。对投资者而言，事件核心不仅在于单笔盗损，更在于平台掌管的客户身份、持仓与银行信息是否已被系统性外泄，以及其持牌与托管架构是否满足美国监管对客户记录保护的底线。

事件概述

披露时间线与信源

据 ZachXBT 说明，其已审阅相关数据库证据，并已于 2026 年 8 月 21 日联系 BitcoinIRA 与 iTrustCapital 寻求置评，但截至 8 月 24 日发稿时尚未收到回复。该披露经 PANews、吴说区块链等多家媒体转述核实（吴说区块链，2026-08-24）。需要强调的是，截至目前两家平台均未自行确认，事件性质仍属”疑似”。

泄露数据范围

泄露信息据称涵盖用户个人资料、投资组合持仓、银行信息、托管方信息及身份验证状态。值得关注的是，攻击者 “Tiffany”（即 ZachXBT 在 8 月 10 日报告中指认的 Tiffany Milanovich）被指曾于 2026 年 6 月利用相关数据库针对一名 BitcoinIRA 用户实施定向攻击，盗走逾 120 万美元资产（The BlockBeats，2026-08-10）。这一脉络显示，泄露数据的可利用性已转化为实际盗损。

涉事平台与牌照定位

BitcoinIRA 与加密 IRA 模式

BitcoinIRA 是一家面向美国用户的加密个人退休账户（IRA）平台，允许用户通过自管 IRA 持有比特币等数字资产。此类业务并非由平台直接托管资产，而是依赖具备资质的州特许信托公司担任合格托管人，平台自身通常同时向 FinCEN 注册为货币服务商（MSB）并对接注册投资顾问或经纪商环节。

iTrustCapital 与合格托管架构

iTrustCapital 同样提供加密 IRA 交易服务，其资产由合作合格托管人持有。两家平台的共同特征是：用户资金与资产在托管人隔离账户中保管，但开户、KYC 与交易指令环节积累了大量客户个人与银行信息。一旦该环节数据库失守，外泄范围便超出链上资产本身，直接触及受监管的客户记录。

合规义务拆解

SEC Reg S-P 保全与通知

若两家平台通过关联顾问或经纪商触及 SEC 监管半径，则 Regulation S-P（客户记录隐私与保全规则）将直接适用。其”保全规则”要求机构建立书面信息安全计划，”泄露通知规则”则要求机构在发现涉及客户非公开个人信息的安全事件后，于合理期限内（通常为 30 日内）通知受影响客户。对于以”未公开披露”状态存续的疑似泄露，这一通知时钟是否已启动，是监管审视的关键。

GLBA 与州级泄露通知法

作为受金融消费者保护框架约束的机构，GRAMM-LEACH-BLILEY 法案（GLBA）保全规则要求其建立保障客户信息的网络安全程序；同时，美国各州均设有数据泄露通知法，要求向受影响居民及（达到一定规模时）州总检察长与征信机构通报。跨州客户的存在使通知义务呈叠加态势。

托管隔离与 NYDFS 500

若任一平台在纽约州展业或对接受 NYDFS 监管的托管/信托机构，则 23 NYCRR 500 网络安全条例要求建立网络安全计划，并在发生网络安全事件后 72 小时内向监管超级intendent 报告。合格托管人的”职责分离”能否在数据库泄露中守住资产边界，亦将被纳入审视。

对持牌机构的影响判断

客户尽调与信息披露

对正在申请或维持美国 MSB、信托或证券相关牌照的机构而言，客户记录保护已从”运营事项”上升为持续合规义务。监管在牌照续期与例行检查中，会重点核验事件响应、客户通知与补救证据，沉默或延迟披露可能放大声誉与执法风险。

牌照续期与监管关注

若泄露经确认，相关平台可能面临监管问询、客户通知义务的强制履行乃至执法程序，并波及其与托管人、合作顾问的合约关系。对收购方而言，目标公司的网络安全事件史与客户数据治理应作为尽职调查核心科目，避免承接隐性合规负债。

常见问题（FAQ）

此次数据泄露是否已被官方确认？

截至发稿，BitcoinIRA 与 iTrustCapital 均未公开回应或确认泄露事件，相关信息源自 ZachXBT 的独立调查与多家媒体的交叉转述。事件是否属实、影响规模多大，仍需等待平台正式披露或监管机构介入后的结论。

若泄露属实，平台可能面临哪些监管动作？

将触发 SEC Reg S-P 下的客户通知义务、FTC GLBA 保全规则及美国各州数据泄露通知法；在纽约展业或对接受 NYDFS 监管托管方时，还涉及 23 NYCRR 500 的 72 小时上报。监管可能据此启动问询、要求整改，情节严重时进入执法程序。

来源：

美国

美国 BitcoinIRA 与 iTrustCapital 疑似数据泄露：加密 IRA 平台客户信息保护与合规义务解析