XTB收紧安全措施，强制实施双重身份验证，因客户被黑导致15万波兰兹罗提损失

波兰在线经纪商XTB在一名客户公开声称因一起看似复杂的黑客事件损失近150,000波兰兹罗提（约38,000美元）后，正在实施更严格的安全协议。该事件可能影响到中欧至少几位投资者。

XTB因客户在声称被黑中损失38,000美元而面临安全审查

事件在周末引发争议，一位在XTB交易了五年的客户在社交媒体上分享了一篇详细的帖子，描述了黑客如何通过针对一些冷门金融工具（包括像Spruce Power这样的微型资本公司）进行数千笔快速交易，声称将他的账户资金 siphoned 一空。该客户曾将自己的投资组合提升至近200,000兹罗提，但他发现75%的资金在他所形容的“程序化屠杀”中消失了。

据称黑客的方法非常巧妙。黑客并没有尝试直接提款，因为XTB限制了只能向已验证的客户银行账户提现，而是据报道在低流动性证券上同时执行买入和卖出交易。受害者的账户在每笔交易中持续亏损，而黑客的独立账户则从交易的另一方获利。

“所有东西都在几分钟内被卖掉：包括长期持有的股票、交易所交易基金（ETFs）以及多年未被触及的证券，”这位客户在其广为传播的帖子中写道。

客户应该自我保护还是企业也有责任？

值得注意的是，该客户并没有启用双重身份验证（2FA），而XTB去年九月将其作为一个可选的安全功能推出。不过，这一事件引发了金融科技（Fintech）的迅速反应。在该客户的故事在当地金融论坛和媒体迅速传播后，该经纪商宣布计划增强其双重身份验证系统，并将其对所有用户强制执行。

“保护XTB客户资金的安全是我们的最高优先事项，”XTB首席产品与技术官Adam Dubiel表示。 “我们在三个方面采取了行动：进一步改善和发展双重身份验证方法，强制要求客户通过2FA保护账户，以及在安全领域积极沟通和教育。”

这一争议还增加了对该公司股票（华沙证券交易所：XTB）的不确定性，周一其股价下跌超过6%，测试了四月的低点，并创下了今年单日最大跌幅。不过在2025年7月8日，XTB股价几乎反弹了3%，回升至72兹罗提。

潜在安全漏洞暴露

受害者声称，当他联系客户支持时，得到了他所描述的轻蔑回应：“我每天都接到像你这样的电话，没什么可以做的。”

据该客户称，他向XTB提交的投诉被拒绝了两次，原因是该公司引用了将密码安全责任归于客户的服务条款。

“不同的密码，不同的电脑，不同的手机，不同的安全措施。唯一的共同点是，XTB账户和平台完全没有责任，”该客户写道。

FinanceMagnates.com在社交媒体上找到多个故事，包括来自Facebook和X的交易者，声称以类似方式被诈骗。找到的最早案例可以追溯到4月5日，内容涉及一位罗马尼亚交易者描述的类似情况。

我们采访的声称的受害者表示，他会提供其他受影响人员的联系方式，但在出版时尚未提供。

XTB回应并进行安全全面升级

针对越来越多的批评，XTB宣布了一系列安全增强措施。从7月14日起，客户将可以使用基于时间的一次性密码（TOTP），通过像谷歌身份验证器这样的应用进行身份验证，而不再依赖当前的短信系统。

“作为投资行业的领导者，我们完全意识到网络安全问题是当今金融界面临的最大挑战之一，并影响到整个金融行业，”XTB在发给FinanceMagnates.com的声明中评论道。“至于在某个在线论坛上的帖子，我们目前正在核实那里的信息。同时，我们提醒客户官方投诉程序是可用的。每个案件都会根据适用法律和我们的内部程序进行单独分析。”

该经纪商透露，目前只有大约10%的客户使用双重身份验证。XTB计划在7月下半年开始自动为现有客户启用2FA，并要求所有新账户在2025年第四季度前启用。

该公司还提到金融科技公司面临的更广泛的网络安全挑战，指出波兰在2024年记录了103,449起独特的安全事件，比上一年增长了29%。

行业专家发声

波兰个体投资者协会副会长Michał Masłowski强调，金融机构和客户必须合作以应对黑客攻击。

“像2FA这样的‘细节’，无论是使用短信密码还是来自谷歌身份验证器的动态密码，登录任何包含稍微金额的账户时都是必须的，”Masłowski说。

根据Mateusz Samołyk的说法，他是Inwestomat.eu的成员之一，帮助将此案引入波兰媒体，建议该经纪商实施几个关键的安全措施：

强制实施双重身份验证，不允许用户禁用，以及实时监控可疑活动，例如交易量突然激增，从每月几笔交易迅速增加到数百笔。新设备和地点的验证，要求通过电子邮件或电话确认来自不熟悉的IP地址或地理区域的登录，每当账户从新设备被访问时，通过电子邮件和短信即时发送登录警报。

“我已经向XTB提出的四种账户安全措施，我将继续关注进展，”Samołyk在X上评论道。

XTB尚未表明是否会补偿受影响的客户或采取其他措施以协助持续的警方调查该黑客事件。