全文
调查结论必须附上时间
Chainalysis 于 11 月 4 日更新资安事件说明，披露密码哈希与有效令牌泄露。这使最初公告的判断不能继续当成完整结论。本文依 11 月 6 日读取的公告讨论事件，不把恢复计划写成已完成，也不推定每个账户都遭受相同操作。
阅读事件更新时，可把「目前知道什么」与「仍在确认什么」分开。一份初步公告没有发现某种影响，表示当时的证据范围，而非永久排除该影响。若后续证据改变，编辑需要更新相关段落，而不是只在旧结论后加一句调查中。
改密码与撤销会话不同
OWASP 将验证身份、会话及访问控制视为相互连接的机制。一般网站在登录后以令牌维持状态，并非每次请求都重新输入密码。因此，更换密码与让已建立的会话失效，应分别验证；实际行为取决于服务设计，不能从按钮名称推定。
假设某服务让用户改完密码，旧浏览器仍可读取资料，就不能只用「密码已更新」证明所有访问都已收回。这是假设情境，不是本案重建。检查应涵盖旧会话、设备及集成服务，并确认各种凭证的撤销结果。
恢复流程也要考虑工作依赖
企业账户可能同时支持人员登录与自动化作业。假设一家公司更换集成服务的密钥，却没有同步更新计划任务配置，资料处理可能停止；反过来，为了维持运作而长期保留旧密钥，又可能留下不必要的访问。这是恢复时需要协调的依赖问题。
较清楚的作业记录会列出哪个服务使用哪种凭证、谁负责替换、何时验证，以及失败时如何处理。重点不是把所有配置一次改完，而是让新凭证可用、旧凭证失效与作业恢复三项结果都有证据，避免只记录已寄出通知。
恢复连接不是调查结束
假设登录页重新开放，这只能证明一项可见功能恢复，不能自动说明资料范围、攻击途径与所有后续影响都已厘清。本站的判断是，营运恢复与调查结论应分别追踪；前者处理能否工作，后者处理发生什么及如何降低重演机会。
对读者而言，可靠的后续信息应清楚列出新增证据、仍未知事项与需要采取的动作。本文不据此判定攻击者身份、个别账户损失或现时服务可用性。若要实际处理账户，应回到官方渠道核对当时有效的恢复安排。