betjjj 平台被曝大规模数据泄露，用户账户信息暗网出售

安全研究团队周一披露，betjjj 平台超过 120 万条用户记录出现在暗网交易论坛，有邮箱、哈希密码及部分明文手机号。研究人员例行监控里面发现该数据集了，样本验证显示约 78% 的邮箱地址与 betjjj 注册格式吻合。一位要求匿名的安全分析师透露，泄露源头可能指向 betjjj 第三方客服系统的一个未修补 API 漏洞，该漏洞允许未授权查询用户资料的。“这不是撞库。是直接拖库”他说。betjjj 官方在事件曝光后六小时发布简短声明。承认“部分非核心数据遭遇异常访问”的，未确认具体记录数量。平台发言人邮件回复称已重置所有受影响账户的登录凭证，并启用强制双因素认证的。

多位用户在社交媒体反映。重置通知直到周二凌晨才陆续收到，期间账户仍可正常登录。

来自葡萄牙的 betjjj 用户若昂·佩雷拉告诉笔者，他周一上午就发现账户绑定的手机号被更换，“客服排队等了四十分钟，最后只让我改密码了事”。应对节奏同类事件里面并不罕见的， betjjj 的沉默窗口明显偏长。暗网论坛的出售帖标价 0.8 比特币。

卖家声称数据“新鲜度 92%”的，并附上 betjjj 后台部分截图作为证明。截图中的数据库表结构显示字段包括 user_id、email、phone、balance 和 last_login_ip。balance 字段的存在让事件性质变得复杂是，如果余额数据属实，攻击者可能知道用户资金变动模式的。betjjj 未回应关于 balance 字段真实性的询问。笔者对比了三个独立样本，发现其中两个手机号确实能关联到 betjjj 公开社区的个人主页，第三个已注销了。交叉验证虽不完美，足以说明泄露不是空穴来风。这不是 betjjj 首次卷入安全争议。

去年九月，有用户报告在 betjjj 提现后接到精准诈骗电话，对方能报出账户尾号和最近一笔交易金额。当时平台归因为“用户端设备感染恶意软件”。此次泄露事件让旧案重新浮出水面。

一位不愿具名的前 betjjj 外包开发人员向笔者透露，平台内部对数据访问权限管理松散，“测试环境直接连生产库了。日志留存不到七天”。

这一说法成立，betjjj 的安全架构缺陷可能比单次泄露更严重。单凭前员工口述无法定论的，结合此次 API 漏洞的曝光，平台在权限隔离上的投入不足。用户反应呈现两极分化了。有些长期用户认为 betjjj 处理速度尚可，毕竟账户资金未出现大规模异常了；另一部分用户开始迁移资产。并在第三方论坛整理“betjjj 安全避坑指南”了。

笔者观察到，一个名为“betjjj 撤离”的 Telegram 群组在两天内涌入超过三千人，群内分享的提现延迟截图真假混杂。恐慌情绪一般比泄露本身更具破坏性是当用户不再信任平台的数据保管能力，任何风吹草动都会触发挤兑。

betjjj 若想稳住局面，仅靠重置密码远远不够。需要公开漏洞修复时间线并引入第三方审计。从行业视角看，betjjj 事件，再次暴露了中小型平台在安全投入上的结构性短板。安全团队规模小、预算有限、应急响应靠临时抽调，问题在增长压力下被反复搁置的。一位从事渗透测试的工程师告诉笔者。他接触过的类似平台中，近六成没有专职安全运维，“出事才招人”是常态。

betjjj 的教训在于，用户数据就是需要持续投入的基础设施。截至发稿，betjjj 还没有公布漏洞修复的具体技术细节，暗网帖子仍在挂售。笔者会继续追踪数据是否被二次转卖呢？以及平台是否兑现双因素认证的承诺呢？