Сто процентов каждый сталкивался с фишинговыми письмами, просто у кого то мозгов хватило не открывать их поэтому они не попали в эту статистику. Так что это так себе исследование, бесполезное.
А откуда узнают те кто рассылает письма с фишинговыми ссылками что этот человек имеет крипту? Это или биржа "разводит" или работники биржи стырили базу и втайне от биржи делают фишинг.
Ну биржи постоянно ломают, причем мы знаем только о самых громких атаках, а о скольких нам не говорят, при взломах крадут не только саму крипту, но и пользовательские данные, KYC и конечно же имейлы пользователей, а если человек зарегистрирован на одной бирже с большой вероятностью и на других тоже, плюс онлайн кошельки тоже будут в этих почтах. Плюс могут сливать такие базы и сами работники бирж которые имеют доступ к такой инфе.
Еще бывают ломают различные сайты, форумы по криптотематики, тут тот же принцип, если человек интересуется криптой то и торгует ею. А сколько айрдропов провели в которых надо было указать почту и сколько было среди них мошеннических, которые созданы были именно для сбора такой инфы.
Вариантов масса как могли утечь имейлы. Потому и рекомендуют почту иметь отдельную, для бирж одна и больше нигде не светится, для реги на различных сервисах вторая, третья и тд.