某数字资产交易服务商运营数据库被 Medusa 加密的处置

客户为一家数字资产交易服务商，主营场外（OTC）撮合与托管运营。前端撮合服务部署在云上，运营后台（用户账户、订单流水、KYC 审核记录、对账台账）跑在自建机房一台 Windows 服务器的 SQL Server 实例上，另有一台文件服务器存放 KYC 影像与合规材料。

按内控要求，大额资产存放于离线冷钱包，私钥以硬件与纸质备份分离保管，与办公网、运营后台均无连通。

运维长期外包给一家小型服务商，通过一套远程管理软件统一接入内网主机；该软件自部署后未更新、控制端直接映射在公网，运维账号未启用多因素认证。

八月中旬一个周末的凌晨，值班人员发现运营后台无法登录：数据库服务已停止，mdf、ndf、ldf 文件与文件服务器的影像目录被统一追加 .MEDUSA 后缀，各目录出现名为 !!!READ_ME_MEDUSA!!!.txt 的勒索信，要求 48 小时内通过 Tor 实时聊天或 Tox 联系。备份代理被停止，本地备份盘上的 .bak 文件同样被加密，卷影副本已被清空，异地与离线备份此前未落地。客户未与对方联系，48 小时期限过后在 Medusa Blog 上看到自己的条目：页面带公开倒计时，并附部分 KYC 材料截图作为「样本」。

首通电话即下达止损指令：断网保持开机、停止写入、不重启数据库、不试「解密器」、暂停快照回收；同时暂停自动出金与白名单变更，冷钱包离线。

• 取证与镜像：对运营后台与文件服务器磁盘做只读镜像，采集安全日志、数据库错误日志与远程管理会话记录，作业在副本上进行。
• 家族确认与可恢复性：据 .MEDUSA 后缀、!!!READ_ME_MEDUSA!!!.txt 信名与「48 小时 + Tor/Tox」确认为 Medusa，与无关的 MedusaLocker 区分，无公开解密工具；备份与快照均验证不可用，熵值测绘显示大体积 mdf/ndf 为部分加密，中段与尾部留有完好数据页。
• 恢复实施：隔离环境页级扫描重建表结构，逐表抽取可用数据页导入新实例，以未加密日志回放补齐停机前流水，再与链上充提、内部台账与用户余额三方核对；KYC 影像自残留副本与只读报表库回收。
• 资金核查与加固：逐笔比对出金审批与链上转出，确认冷钱包与私钥未被触及；下线控制端公网映射并升级，重置凭据、启用多因素认证，重建「本地 + 离线不可变」备份并实测还原。
• 交付物：可恢复性评估、数据缺口清单、泄露影响评估、通报与整改建议。