最讽刺的不是密码本身，而是这个密码真的按设计跑通了全程。
2026 年 10 月 5 日，丹麦政府确认：中央人口登记系统（CPR）约 880 万人的个人信息遭未授权访问（The Hacker News）。丹麦全国人口约 590 万，但登记库共约 1100 万条记录，含已故和移居海外者，所以泄露人数比全国人口还多（The Register）。被打包带走的三样东西：姓名、家庭住址、CPR 号。CPR 编号里编码着出生日期，等于整套身份档案就差一个邮箱。
十天，1400 万次查询，一张发票
丹麦广播公司 TV 2 拿到的文件显示：攻击者 9 月 10 日进入系统，到 9 月 20 日为止跑了约 1400 万次自动查询（TV 2）。这十天里没有任何监控报警。真正破案的是一位工作人员看账单时发现某家私人公司的查询量异常，政府部门主管 Mikkel Leihardt 在发布会上讲了这段（The Register）。
时间线摆出来更有味道：
- 9 月 10 日：攻击者经合法通道进入
- 9 月 10 日至 20 日：约 1400 万次自动查询
- 10 月 2 日：因发票异常被发现，距最后一次查询已过 12 天
- 10 月 4 日：丹麦数据保护局（Datatilsynet）收到通报
- 10 月 5 日：对外披露
十天 1400 万次查询，这不是隐秘行动，是一台挖掘机在白天作业。没人发现，只因为它走的是一扇本来就该开着的门。
入口：一家小公司，密码 123456
事件中心是一家叫 Pays ApS 的小型 IT 数据服务公司，在菲英岛上，持有 CPR 系统的合法访问权，业务是帮客户核验商业登记信息。政府没点名，但 Pays 的总经理 Sophie Laursen 在 10 月 9 日承认公司的访问通道被利用，公司官网随后下线（The Register）。
10 月 13 日，丹麦《政治报》报道：声称对事件负责的人说，入口是一个密码为 123456 的账户，而且这家公司至少三个账户（含管理员账户）共用这个密码。此人还表示无意出售或泄露数据（Politiken）。这话靠不靠谱另说，数据已经出了门。
把我们写过的 Ledger 供应链植入事件放在旁边看，结构一模一样：核心系统从头到尾没被攻破，被攻破的是一条被信任的边缘通道。Ledger 的固件没问题，出事的是零售渠道；丹麦的登记系统没问题，出事的是某家供应商的密码卫生。两次事件的爆炸半径都不取决于核心有多硬，而取决于钥匙复制得有多随手。
为什么写在一个链上安全站上
这次事件没碰任何区块链、任何交易所热钱包、任何助记词。但钓鱼攻击把身份数据兑换成被盗的加密资产，数据质量越高，兑换率越高，这才是和我们读者的关系。
一封「亲爱的用户」是噪音。一条能报出你法定姓名、家庭住址、出生日期的消息，能通过每个受害者心里的第一道关：他好像真的认识我。社会工程的全部机理就在这一下，目标是银行登录还是助记词，逻辑完全一样。
具体到持币人，这类数据流出后通常会出现的几波攻击：
- 假 MitID 验证潮：丹麦银行和交易所登录都走 MitID 数字身份。安全媒体报道已提醒：MitID 让冒充变难，但真实身份数据让外围诱饵变得可信（Cybernews）。预期会出现引用你真实信息的「验证你的 MitID」消息
- 假交易所客服：「检测到异常提币，请确认收款地址」，开局就报你姓名住址生日，杀伤力完全不同
- 假 KYC 施压：骗子拿着登记库形状的真数据，说你的「登记记录需要更新」，天然成立
- SIM 卡交换前置：身份数据把运营商社工这一步磨光滑了，而那正是 SIM 交换攻击的前奏
这次入侵者说不卖。历史经验是这类数据迟早浮出水面，而买家从来不是出于好奇。
检测的教训：发票比监控先响
一个自动化跑量的操作，最扎心的事实是：1400 万次查询跑了十天没触发任何告警，最后是一个人看了一张账单。链上这边有镜像：多数被盗用户发现资产异常，不是靠什么提醒，而是某天发现余额对不上，而那笔被滥用的授权可能几周前就签了。如果你持有加密资产，「没人看的发票」就是那份你从没审计过的授权列表：在别人替你制造异常之前，先自己过一遍。
实际该做什么
假设你的身份数据已经在某次泄露里流转（所有人都该这么假设）：
- 主动联系你的一律默认可疑。 能报出你姓名、住址、生日的人，只证明了一件事：他能访问某个数据库。验证只走官方 App 或自己查到的号码
- 绝不因为一条消息转账。 没有任何交易所、登记机构、银行会因为「你不点就来不及了」而动你的资产。未收到邀请的消息里出现倒计时，就是骗子的口音
- 加固找回路径。 纸上的助记词不受这次泄露影响，身份数据攻击的是交易所和邮箱的账户找回层。能上硬件密钥两步验证就上，运营商能办号码转出冻结就办
- 如果你是运营者或团队负责人：如果一个供应商能用一个共享密码读你的命根子，你面对的不是密码问题，是访问架构问题。丹麦刚刚用国家级规模演示了这条成本曲线
这事以后会被记住的是 123456。但真正该留下的是另一个数字：1400 万次，乘以十天，乘以零告警，直到有人看了一张发票。
常见问题
丹麦这次泄露，影响中国用户吗？
不直接影响。泄露的是丹麦人口登记数据，不含中国用户信息，也没有任何钱包或交易所被攻破。值得中国读者注意的是模式本身：身份信息一旦泄露，精准诈骗的成功率会大幅上升，这和国内通讯录、快递单泄露后被精准诈骗是同一个逻辑。
CPR 号是什么，骗子要它有什么用？
CPR 是丹麦的公民登记号，编号里直接编码了出生日期。配上姓名和住址，骗子就凑齐了一套可验证的身份素材，可以冒充银行、交易所、登记机构发起精准钓鱼。丹麦的银行和交易所登录都走 MitID 数字身份系统，预计会出现引用真实个人信息的假 MitID 验证潮。
国家数据库怎么会被 123456 这种密码攻破？
国家系统本身不是直接用 123456 保护的。一家叫 Pays ApS 的私人 IT 公司持有合法查询通道，据丹麦《政治报》报道，这家公司至少三个账户（包括管理员账户）共用 123456 这个密码，攻击者从这个合法入口长驱直入。
身份信息已经泄露的人，手里的币怎么保护？
核心是一条：任何主动联系你、还能准确报出你姓名住址生日的人，都默认按骗子处理。验证只走官方 App 或自己查到的官方号码，绝不因为一条消息、一个电话就转账或改钱包设置。另外把交易所和邮箱的找回路径加固：硬件密钥两步验证、运营商办理号码转出冻结。