以下是我和律师讨论后，对案件的大致梳理： 如果手机和邮箱丢失，但确实是用户本人需要重置安全项，平台的安全认证流程通常是这样： 活体人脸验证 + 手持身份证/护照 + 手写纸条照片或视频 + 账户历史信息交叉验证 平台会额外要求提供外部关联账户的历史交易证明，例如支付宝/微信的特定时间段交易录屏，用来交叉验证身份。 所以，在本案中Gate在活体和手持证件之外，额外要求了指定的2019年支付宝历史交易录屏，是属于更严格的安全核验。 然而，问题就出在这里： 理论上，攻击者只要拥有活体和手持证件的样本，在额外掌握支付宝历史交易录屏，就有较大概率通过审核并重置其他安全项（包括手机、邮箱、谷歌动态令牌）。 而当前之所以无法调解，是双方主张存在巨大分歧： 用户的主张：非本人验证，Gate放行了资产，没有履行保障资产安全的义务，应当承担赔付责任 Gate的主张：用户泄露核心隐私信息，导致攻击者突破了安全审核屏障，责任在用户自己。 最终，谁的主张更能得到法律和舆论的支持，其核心关键在于 —— 支付宝录屏，以及活体/证件的真实性。 假设，由法院判决，或警方在侦查过程中形成的事实判断、鉴定意见得出结论为：支付宝录屏是真实的，但活体人脸和手持证件是伪造的（结合当前双方举证） 那么，责任的划分就比较清楚： 1、攻击者：绝对主责（刑事犯罪） 2、Gate：承担主要民事赔偿责任 作为资产托管方，最终放行了伪造身份材料下的安全项重置和大额提现，直接导致资产被转走。审核环节的失职是资产流失的最后关键一环。 3、用户：承担次要责任 支付宝被真实攻破是攻击得以推进的重要前提，用户对自身设备、支付账户和通知的防护存在疏忽。 而最终比例，会受到“伪造材料的明显程度、通知是否有效送达、用户是否有机会拦截、高价值账户是否本应启动更高级别验证（如实时视频连线）”等因素的影响。 反之，如取证证明是用户自身泄露，而材料真实有效，平台按既定流程操作，那么在司法实践中，平台通常不承担直接赔付责任。 有了责任区分，就有了双方协商的空间和可能性。 对一个离岸交易所来说，公开承诺“官方认定就双倍赔”，可以认为是比较强的表态了。如果事实认定清晰后再扯皮，舆论的代价也会更大。