核心摘要
- 印度头部加密交易所 CoinDCX 于 2026 年 10 月 27 日发布钓鱼攻击警告，提示攻击者冒充官方通知与电子邮件，诱导用户点击外部链接、连接钱包或输入账户信息。
- CoinDCX 表示其他交易所亦报告了类似情况，目前正联合展开调查，并提醒用户不要信任任何将访问引向官方站点之外的消息。
- 交易所明确重申：绝不会要求用户提供私钥、助记词或一次性验证码（OTP），也不会发送要求用户提取资金的链接。
- 该警告发布于印度交易所连续安全事件之后，凸显当地在用户资金保护与反钓鱼合规上的持续短板。
- 对持牌或申报型虚拟资产服务商而言，主动披露与渠道核验机制已成为用户信任与合规运营的关键环节。
本文由 Aiying 艾盈合规团队原创，转载需授权。
事件始末：冒充官方的钓鱼攻击
据 CoinDCX 于 2026 年 10 月 27 日通过其官方社交账号发布的声明，近期出现一类针对其用户的钓鱼攻击。攻击者通过冒充官方通知及电子邮件，诱导用户点击外部链接、连接钱包或输入账户信息。此类手法并不依赖技术入侵，而是借助用户对品牌的信任实施社会工程学欺诈。
印度媒体《商业线》（The Hindu Business Line）的报道印证了上述时间线：CoinDCX 在 10 月 27 日公开警示，诈骗者向用户发送通知与邮件，将访问者引向外部链接、促使用户连接钱包并索取账户信息。交易所强调，任何将用户引导至官方站点之外的消息都不应被信任。
同业联动与调查机制
CoinDCX 在声明中指出，其他交易所也报告了类似的活动，目前正联合展开调查。这种同业信息共享机制在加密行业并不常见，却正是应对跨平台钓鱼活动的必要手段——攻击者往往对多家交易所的用户同时下手，单一平台的告警难以覆盖全貌。
对监管者与行业自律组织而言，此类联合调查也暴露出印度市场缺乏统一的可疑活动上报与协同处置通道。若未来印度建立更清晰的虚拟资产服务商（VASP）监管制度，跨机构反诈与事件通报义务很可能被纳入合规要求。
交易所的安全承诺与用户防线
在警告中，CoinDCX 重申了几条不可逾越的红线：交易所绝不会要求用户提供私钥、助记词或一次性验证码（OTP），也不会发送要求用户提取资金的链接。这一表述意在帮助用户建立可识别的”官方行为基线”，从而降低被仿冒欺诈的成功率。
从合规视角看，此类主动披露本身也是一种风险控制动作。当平台能够清晰界定”官方绝不会做什么”，用户便拥有了可操作的鉴别标准。对于申报型虚拟资产服务商，保留并公开这类安全承诺，是在监管尚未细化前构建用户信任的重要补充。
印度加密合规框架与用户保护缺口
印度目前尚未建立专门的虚拟资产牌照制度，但依据《防止洗钱法》（PMLA），面向印度的加密交易所须在国家金融情报单位 FIU-IND 注册为”报告实体”（Reporting Entity），履行 KYC 与可疑交易报告义务。CoinDCX 正是其中之一。
值得注意的是，印度交易所近年连续遭遇安全与信任冲击：2024 年 WazirX 约 2.34 亿美元被盗，2025 年 7 月 CoinDCX 自身亦曾因一笔内部流动性钱包被入侵损失约 4400 万美元。本轮钓鱼警告恰逢该交易所此前一笔涉及旧地址的资金移动事件之后，进一步放大了用户对资产安全的敏感情绪。对服务商而言，安全事件后的透明度与用户沟通，已不仅是运营问题，更是监管关注的合规议题。
FAQ
用户应如何识别 CoinDCX 官方渠道以避免钓鱼攻击？
用户应仅通过 CoinDCX 官方域名与经认证的应用访问账户，对要求连接钱包、输入助记词或 OTP 的邮件与消息保持警惕。交易所明确不会索取私钥、助记词或验证码，也不会通过链接要求提现。遇到可疑消息，应直接登录官方站点核实，而非点击消息中的链接。
印度目前对加密交易所的合规与用户资金保护有哪些要求？
在印度，加密交易所须在 FIU-IND 注册为报告实体，履行反洗钱与可疑交易报告义务；但针对用户资金托管、技术安全与泄密赔付的专项规则仍不完善。用户资金保护在很大程度上依赖交易所自身的 custody 实践与披露承诺，这也使主动安全预警成为合规运营的重要一环。