适用对象：曾通过 Double Counter 机器人验证的 Discord 用户、使用它的服务器的管理员，以及运行自托管分析工具的人。本文基于运营方自己的报告，不涉及攻击手法。
事态发展中：本文将随机构发布更多信息而更新
截至 2026 年 10 月 30 日尚不清楚
- 受影响人数的确切数字
- 哪些已公开的数据副本已被删除
- 数据保护机构审查的结果
- 刑事控告的结果
运营方的报告日期为 10 月 5 日，并于 10 月 21 日更新为 2.0 版。报告称事件已得到控制，服务已使用新凭据恢复，并已请求删除已公开的数据副本。截至 10 月 30 日，我们没有找到更新的版本。
今天该怎么做
成员：只有在验证时段内受到影响时才需要重新验证
运营方称，如果您在 10 月 4 日 UTC 13:39 至 14:49 之间验证，却没有获得身份组，请重新验证。除此之外无需采取任何行动。
服务器管理员：删除邀请消息并检查审计日志
运营方称，自 10 月 4 日 UTC 13:30 起，在约 50 个大型服务器中，发布了看似来自 Double Counter、通往攻击者服务器的邀请。请删除 10 月 4 日 UTC 12:00 至 16:30 之间、邀请人们加入另一个服务器的任何 Double Counter 消息，并在审计日志中检查该时间段内 Double Counter 的操作。
机器人、广告主和 API 客户：将与付款有关的消息视为假冒
运营方称，它正在自行联系其支付类产品的受影响客户。客户应对虚假的付款或退款消息保持警惕。卡组织、有效期和后四位数字，加上姓名和账单地址，足以制作出令人信服的虚假发票。
如果您有自己的 Discord 机器人，请轮换其令牌
运营方称，攻击者从一个容器中读取了机器人令牌，并用它冒充机器人行事。这是一个一般性提醒，并不是关于您的机器人的结论：请将令牌存放在密钥存储中，而不是明文文件里，限制您授予机器人的权限，并在怀疑暴露时重置令牌。
发生了什么（依据运营方的报告）
以下内容基于 Double Counter 的运营方 Tellter SAS 于 2026 年 10 月 5 日发布、10 月 21 日更新为 2.0 版的事件报告（10 月 30 日查阅）。时间均为 UTC。
10 月 3 日 05:28
开始从轮换的 VPN 地址探测运营方的系统。10 月 4 日 00:47
攻击者通过托管服务商处一台已停用服务器上可公开访问的自托管 Metabase 实例，登录了这台服务器。10 月 4 日 12:03 至 17:54
云项目内的活动，总计 5 小时 51 分钟。运营方称，攻击者导出了一个数据库（5.0 GB，报告称从未被下载），读取了机器人令牌，复制了约 12 GB，并更改了数据库管理员密码。10 月 4 日 13:30
通往攻击者服务器的邀请开始出现在约 50 个大型 Discord 服务器中。10 月 4 日 17:54 和 19:19
云基础设施中记录的最后一次操作，以及随后使用新凭据恢复服务。10 月 5 日
报告发布。已通知法国数据保护机构（CNIL）。10 月 21 日
报告 2.0 版。依据 GDPR 开始向约 100 万人发送通知邮件，并已向巴黎检察机关提起刑事控告。
- Discord ID 和用户名
- 约 2,800 万条记录，部分复制并按已暴露处理
- IP 地址和粗略位置
- 约 2,700 万条记录，部分复制并按已暴露处理
- 设备信息
- 约 2,500 万条经哈希处理的用户代理、城市和国家的记录，用于检测小号。已复制
- 邮箱地址
- 约 100 万个，去重后。已复制
- VPN 检测日志
- 约 1,500 万条。运营方称这些未被复制
- 支付类产品客户
- 约 5,000 条记录，包含姓名、邮箱、Discord ID、账单地址、套餐、支付历史、卡组织、有效期和后四位数字。已复制，部分已公开
- 未受影响
- Discord 密码，机器人从未收到。完整银行卡号和安全码，只有支付服务商持有
- 已采取的措施
- 删除了被盗凭据，撤销了管理员会话，移除了攻击者的访问密钥，关闭了旧服务器，重置了机器人令牌，删除了十个暴露的 webhook，关闭了数据库对互联网的访问，轮换了凭据，让员工退出登录，并开启了监控
已停用的服务器，可从互联网访问的 Metabase
↓→
伪造的管理员会话
在该服务器上找到的两个云凭据（管理员密钥、已保存的会话）
↓→
导出数据库，复制约 12 GB
从容器中读取机器人令牌
↓→
利用机器人在约 50 个大型服务器中发布邀请
已知与未知的内容
状态截至 2026 年 10 月 30 日。运营方发布更多信息时，我们将更新状态一列。
| 项目 | 运营方的说法 | 状态 |
|---|---|---|
| Discord ID 和用户名 | 约 2,800 万；部分复制 | 按已暴露处理（运营方） |
| IP 地址和粗略位置 | 约 2,700 万；部分复制 | 按已暴露处理（运营方） |
| 经哈希处理的设备信息 | 约 2,500 万 | 已确认泄露（运营方） |
| 邮箱地址 | 约 100 万，去重后 | 已确认泄露（运营方） |
| VPN 检测日志 | 约 1,500 万 | 未复制（运营方） |
| 支付类产品客户记录 | 约 5,000 条；部分已公开 | 已确认泄露（运营方） |
| Discord 密码 | 机器人从未收到 | 未受影响（运营方） |
| 完整银行卡号和安全码 | 仅支付服务商持有 | 未受影响（运营方） |
| 机器人被滥用 | 在约 50 个大型服务器中发布邀请；实质上全部已删除 | 已确认被滥用（运营方） |
| Tellter 另一款产品上的银行卡扣款 | 40 次尝试扣款中有 23 次成功，共 7,331 美元；已退还 | 已确认（运营方） |
| 入口 | 已停用服务器上可公开访问的自托管 Metabase；伪造的管理员会话 | 已确认（运营方）；未指明 CVE |
| 遗留的后门 | 对 14 个云项目的审计中未发现 | 未发现后门（运营方） |
| 监管机构和执法部门 | 10 月 5 日通知 CNIL；10 月 21 日提起刑事控告 | 已确认（运营方） |
| 删除已公开的副本 | 已请求 | 进行中 |
如何解读：“部分复制”是运营方的措辞
运营方将 Discord ID 和 IP 地址记录按已暴露处理，尽管只有一部分被复制。数量是近似值，为运营方的原话。本站不将各类别相加，因为同一个人可能出现在其中的多类中。
这些信息可能被用来做什么
一般而言，这些信息的组合可能被如下滥用。这并不意味着本案中已经发生。
- Discord ID 和用户名：让人可以直接给您发消息，或在您们共同所在的服务器中冒充机器人或管理员
- IP 地址和粗略位置：让人大致知道您在哪里以及使用哪家互联网服务商；它不是街道地址，但会让威胁或“我们知道你在哪里”的消息听起来很真实
- 邮箱地址与 Discord ID：将您的 Discord 身份与邮箱关联起来，可被用来在 Discord 之外针对您
- 支付类产品客户的账单信息：姓名、账单地址和卡号尾数，足以制作出令人信服的退款或发票诈骗
面向运行分析工具和机器人的人
运营方称，入口是一台已被其停用、但尚未从互联网上移除的服务器上的自托管分析工具，随后攻击者使用了存放在同一台服务器上的两个云凭据。这与通过同类工具发生的其他泄露事件相仿；参见本站关于 Metabase 漏洞数据泄露的文章。运营方没有为本次事件指明 CVE，所以我们不将其与那一个关联。
运营方自己的说明引出了两项检查：
- **已停用的系统：**列出您仍在付费或仍有 DNS 记录的每一台服务器和工具，并删除不再使用的。从您的网络之外检查，您的分析、仪表板和管理工具中，哪些能在互联网上响应。
- **无所不能的凭据：**运营方称攻击者使用了一个具有管理员权限的服务账号密钥和一个已保存的管理员会话。请只授予服务账号所需的权限，为已保存的会话设置较短的有效期，并对新的 SSH 密钥或首次登录您云项目的行为发出告警。
具体到 Discord 机器人，令牌就是机器人的身份。任何能读取它的人，都可以在机器人拥有权限的每一个服务器中冒充机器人行事，所以请尽可能收窄您授予机器人的权限。
参考来源（公开记录）
本文事实基于下列公开信息。对于未披露的手法或责任方，我们不做推测。
- Tellter SAS（Double Counter 的运营方），《安全事件 INC-2026-10-04》事件报告（2026 年 10 月 5 日；2.0 版，2026 年 10 月 21 日，英文）— doublecounter.gg
更新记录
2026-10-30：首次发布，依据运营方报告 2.0 版（10 月 21 日），10 月 30 日查阅。运营方发布新版本时，我们将更新本文。
延伸阅读
- 同类入口：Metabase 漏洞数据泄露
- 诈骗：什么是网络钓鱼？ / 多重身份验证指南
- 密码：密码管理器指南
- 2026 年其他事件：2026 年数据泄露与网络攻击一览