ZachXBT锤爆两大加密退休平台：BitcoinIRA与iTrustCapital被曝隐瞒数据泄露

链上调查员 ZachXBT 今晨指控，加密退休服务商 BitcoinIRA 和 iTrustCapital 今年均遭遇数据泄露，但未向客户披露。

ZachXBT 声称，攻击者获取了用户的投资组合持仓、银行信息、托管机构详情及验证状态等个人资料。在确认泄露发生后，他于 8 月 21 日向两家平台发送邮件，但三天未获回应，于是今日公开发出警告。

iTrustCapital 在 X 平台回应称：“iTrustCapital 未经历也不知道近期任何影响我们平台的第三方供应商数据泄露事件。” 并强调其“多步骤闭环系统”旨在缓解针对用户的钓鱼、诈骗或个人层面攻击所造成的损失。截至发稿时，BitcoinIRA 尚未公开回应。

据 BBB 企业信息，Chris Kline、Johannes Haze 和 Camilo Concha 于十年前在加州 Sherman Oaks 创立 BitcoinIRA。该公司自称是提供退休账户持有比特币（BTC）的“原创”服务商，并宣称管理资产超过 140 亿美元。

iTrustCapital 则由 Todd Southwick 和 Blake Skadron 于 2018 年创立，2022 年 1 月宣布完成 1.25 亿美元 A 轮融资，当时总部位于加州 Long Beach。该公司曾宣称累计处理约 5.3 万个账户、超过 100 亿美元交易；其官网目前则宣称已处理超过 30 万个账户、逾 170 亿美元交易。

加州数据泄露数据库并未列出 BitcoinIRA 或 iTrustCapital。两家公司均曾总部设于加州，而加州最近收紧了数据泄露披露规则。参议院第 446 号法案于 2025 年 10 月签署成法，并于今年 1 月生效。该法案要求企业在发现重大数据泄露后 30 天内通知居民；若通知超过 500 名居民，还需在额外 15 天内通知州检察长。BitcoinIRA 和 iTrustCapital 均未出现在该注册表中。尽管 BitcoinIRA 的公司历史中有加州地址，但其后续还列出了内华达州运营基地，这可能使其豁免于该注册表的要求。但该注册表只公布超过 500 名受影响的泄露事件，或者公司自愿上报的事件，因此缺失并不一定意味着违规。

关于泄露发生的时间，确切日期未知，但 ZachXBT 将至少一次攻击追溯到 2026 年 6 月。他还曾在 8 月 10 日发布帖子，称有攻击者使用疑似通过该数据泄露获取的伪造 BitcoinIRA 邮件。

iTrustCapital 自己的帮助中心称，即使客户的电子邮件、SIM 卡、密码或双因素登录遭到泄露，也无法从 iTrustCapital 账户中提取加密货币，因为该账户与外部钱包没有连接。