FTX 總整理：理賠資料遭駭、收回八成債務、現金償還的原因
#558
嗨，早！
FTX 從 2022 年 11 月申請破產1至今，再過 2 個月即將屆滿一年。先向受到這起事件影響的大家，說聲辛苦了。
去年底 FTX 的執行長職務從 Sam Bankman-Fried（SBF）轉交到 John J. Ray III 手上，由他負責資產清算 。在此之後，每隔一段時間人們便會從新聞媒體得知 FTX 的新消息，例如 SBF 入獄、FTX 收回資產或是 FTX 2.0 重啟計畫。但消息是不是謠傳，FTX 善後進度到哪，多數人其實未必清楚。
這篇文章替大家統整從去年 11 月 FTX 申請破產至今最重要的幾個里程碑。先從和所有人都息息相關的理賠申報開始。
理賠申報
如果你在 2022 年 11 月 FTX 交易所倒閉時，仍有資產放在 FTX 或是 Blockfolio 帳戶的話，那你就是這起事件的受災戶。所有受災戶現在要做的第一件事，就是在 2023 年 9 月 29 日之前，到 FTX 網站上完成身分認證、申報理賠。根據 FTX 交易所在 7 月發布的新聞稿：
FTX 今天宣布為用戶推出線上理賠網站，網址為 https://claims.ftx.com。用戶只要以個人的 FTX 帳號密碼登入，就能查看截至 2022 年 11 月 11 日的交易歷史資料、帳戶餘額。若你同意網站上記載的資料，只需繳交實名認證（KYC）資訊並送出申報即可。美國法院將用戶的申報截止日訂在美東時間 2023 年 9 月 29 日下午 4 點。FTX 已經開始透過 Email、實體信件通知所有客戶，敦促人們完成理賠申報。
這步驟等同於告知美國法院，你是 FTX 債權人並確認 FTX 還欠你多少錢。大家必須在期限內完成，未來 FTX 在賠償用戶損失時才會算你一份。如果你是受災戶，我建議你儘速操作（懶人包、交流群組）！申報的過程難免會遇到一些需要花時間處理的困難，例如忘記帳號密碼、顯示金額錯誤，或是手邊沒有實名認證文件要額外申請。最後一天才臨時抱佛腳的風險很高。
但如果你早早就完成申報，只是想要回頭確認資料，可能會發現當前網站無法登入。
網頁右上角提醒視窗會顯示：「Not allowed with read-only permissions」。這間接地代表 FTX 已經收到你的申報資料。之所以不讓你登入，是因為 8 月底發生了一起駭客事件。為了防止已經申報完成的用戶遭到網路釣魚，FTX 才會先禁止使用者登入。
資料遭駭
根據 FTX 公告：
理賠代理商 Kroll 受到網路安全事件影響，導致某些申報理賠者的非敏感客戶資訊遭到洩漏。這起事件發生在 Kroll。Kroll 正在通知受影響的人。FTX 的帳戶密碼並非由 Kroll 維護，因此 FTX 系統不受影響 ... 請慎防冒充破產當事人的詐騙信件。
Kroll 是一家已經成立 90 年的美國金融風險顧問公司。在去年 FTX 破產之後，Kroll 受到新的 FTX 經營團隊委託，負責後續的理賠作業。現在所有與 FTX 理賠相關的時程、文件，通通都會公佈在 Kroll 為 FTX 建立的專屬頁面上。已經申報理賠的用戶資料，自然也會轉到 Kroll 手上。
雖然 FTX 第一時間發文說是 Kroll 的錯，Kroll 也承認是自家員工遭到駭客攻擊，但追究起來恐怕美國電信商 T-Mobile 也脫不了關係。根據 Kroll 的新聞稿：
2023 年 8 月 19 日，有一名駭客針對 Kroll 員工的 T-Mobile 門號發動一次相當複雜的「SIM 卡偷換」攻擊。具體來說，T-Mobile 在未經 Kroll 或其員工授權情況下，就按照駭客的要求將員工的手機號碼轉移到駭客手機上。結果駭客疑似獲得包含 BlockFi、FTX 和 Genesis 的理賠申請者的某些個人資料。我們已經透過 Email 通知受影響的用戶。
這類 SIM 卡偷換（SIM swap）攻擊在美國相當常見。這與美國電信業者的身分驗證機制安全性不足有關。駭客會打電話給電信公司，偽裝成受害者並謊稱自己 SIM 卡故障，但手邊有一張新的 SIM 卡，要求電信公司協助將身分從舊卡換到新卡上。如果電信公司沒有謹慎核對來電者的身分，或是受害者個資早已外洩，駭客就很容易得手。
曾有研究學者向 5 家美國電信商，總共購買 50 張預付卡，來做實驗模擬駭客攻擊。結果發現得手的成功率高達 8 成。駭客有了受害者的 SIM 卡權限，就可以搭配受害者在無意間流出的帳號密碼，登入他的各類帳戶取得更有價值的資料。
而在這次被駭事件當中，提前完成理賠申報的人，很可能就是資料外洩的受害者。因此 FTX 乾脆關閉這些人的網站登入權限，避免遭到釣魚攻擊。反過來說，如果你現在還可以登入，有可能是你在 8 月底之後才完成理賠申報，也有可能是 Kroll 根本還沒收到資料。
除了申報理賠之外，大家最關心的是能拿回多少錢，是現金還是加密貨幣？
收回債務
受災戶能拿回多少錢，是網路上最混亂的資訊。就像選舉開票，各家媒體的開票狀況都不太一樣。中選會的網站雖然票數更新比較慢，但至少不會「膨風」。FTX 清算團隊每隔幾個月就得向美國法院報告處理進度，並撰寫成一份期中報告（interim report）更新在 Kroll 網站上。目前 FTX 共完成了 2 份期中報告，分別在 2023 年的 4 月和 6 月提出：
第 3 份期中報告原本預計在 8 月出爐，不過至今還沒公佈。根據第 2 份期中報告，FTX 在去年 11 月申請破產時總共積欠用戶約 87 億美元的資產。截至 2023 年 6 月為止，FTX 已經收回約 70 億美元的流動資產（liquid assets）。若按比例計算，FTX 至今已經收回大約 8 成債務。換言之，理想上受災戶可望取回當初放在 FTX、Blockfolio 帳戶內的 8 成資產。但這些數字可能還會有變數。
眾所皆知，FTX、Alameda Reseach 兩家公司的帳務混亂，不要說外人搞不清楚，就連內部紀錄也相互矛盾。前 Alameda 執行長 Caroline Ellison 曾在自己的筆記本裡寫下，估計 FTX 交易所的現金赤字高達 100 億美元。但公司內部文件所記載的金額則是 89 億美元的負債。前後數字兜不攏。最終 FTX 清算團隊加加減減，才獲得 87 億美元這個數字。
理論上，負債的金額不會再有太大變動。變化比較大的會是 FTX 還能收回多少資金，以及償還方式，兩者都會影響最終人們能拿回多少錢。
現金返還
最近美國券商 Robinhood 以 6 億美元回購了一批曾經由 SBF 持有，後來被美國司法部沒收的股票。
其實 Robinhood 早在年初就同意回購這批股票，但要釐清這批股票是誰的卻相當複雜。股票最初是由 SBF 購買，但那些錢顯然是來自你我的 FTX 存款。後來 Alameda 拿著這批股票當成抵押品，向 BlockFi 借款 6.8 億美元卻無力償還。結果 FTX、Alameda 和 BlockFi 相繼倒閉。現在三方（SBF、BlockFi 和 FTX 債權人）都聲稱這批股票是自己的。最終，美國司法部乾脆先沒收這批股票，代替大家賣回給 Robinhood 再說。至於日後誰能拿到這 6 億美元，恐怕還有得吵。
此外，上週區塊勢也討論2過 Alameda 持有市價大約 5 億美元的 GBTC 比特幣信託基金。假如未來灰度獲准，能將 GBTC 轉成比特幣現貨 ETF，這批 GBTC 應該還會更值錢。
東拼西湊之後，最終要湊回大家的 87 億美元或許不算難事。比較尷尬的是，FTX 現在打算償還的資產並不是原本大家在帳戶裡存放的加密貨幣，而是要兌換成等值的美元現金返還。
加密貨幣價格起起伏伏，現在的幣價已經和去年 11 月不一樣，FTX 該算什麼時候的價值？市場上普遍認為 FTX 會以 2022 年 11 月 11 日申請破產當時的美元價值計算。換言之，假如你帳戶裡持有 1 顆 BTC，而當時幣價為 16,000 美元。假設最終 FTX 返還 80%，那麼你就會拿回 12,800 美元的現金。
這對大家來說當然很虧，畢竟現在 BTC 的價格已經比當時高得多，就算最終能拿回 100%，也已經買不回 1 顆 BTC。但從 FTX 清算團隊的角度來看，他們的工作目標是盡可能彌補大家的損失。如果幣價上漲，用美元來彌補損失在帳面上的數字會更好看。反之，如果現在幣價比當時更低，我猜 FTX 有可能更願意直接退還給大家加密貨幣。
FTX 清算團隊和債權人的終極目標並不一致。前者在意的是工作績效表現，後者在意的是實際拿回的資產多寡。最不受影響的，大概是當初帳戶裡僅持有美元、穩定幣的投資者。
近期 FTX 已經向法院呈報，希望聘請專業的資產管理公司 Galaxy Digital 協助出售手上高達 30 億美元的加密貨幣，並在過程中對沖 BTC、ETH 的價格風險，避免越賣越便宜。對加密貨幣投資者來說，這肯定又是眼前的一片烏雲。要等到這 30 億美元的加密貨幣賣光之後，市場才有機會復甦。
雖然理賠結果恐怕差強人意，甚至不知道何時才能拿回這筆錢。但幣圈比的是氣長。許多人都曾羨慕那些 10 年前就以低價購入比特幣的人，以為他們只是運氣好，卻很少人意識到過程中必須經歷多少難關才能存活至今。以前我總覺得人的記憶應該是越長越好，但自從接觸比特幣之後，我反而希望自己有一天能學會「買完就忘記」。
區塊勢是由讀者付費訂閱來維持營運的獨立媒體。如果你覺得區塊勢的文章不錯，歡迎你分享這篇文章或是到會員成立的 Discord 參與討論，或收藏 Writing NFT 將這篇文章加入自己的 Web3 紀錄。
此外，也請大家推薦區塊勢給親朋好友。若想查閱區塊勢過往的出刊內容，可以參考文章列表。有鑒於常會有讀者寄信來問我推薦碼，因此我將它們整理成一頁。歡迎大家使用。
哎，以電話號碼為本的認證，還是儘速淘汰吧。譬如常用於 2FA 的 SMS 簡訊，早有已知的漏洞 SS7 Attack 可被攔截訊息，美國國家標準與技術局（NIST）也早在 2016 年，就建議不要再使用 SMS 作為認證方式了。這次美國電信商對 SIM 卡疏於驗證身份，更是雪上加霜啊。