- セキュリティ専門家が、公式Coinbaseページでユーザーにmnemonic seed phrasesの入力を求める行為が危険な不備であると警告しました。
- このページはCoinbase Commerceの終了に伴う緊急性を生み出し、ユーザーがフィッシング攻撃に対してより脆弱になる可能性がありました。
- アナリストは、このデザインが詐欺師にとって模倣の青写真となり、ユーザーからウォレットへのアクセス権限を騙し取る手助けになると警告しています。
公式なCoinbaseのサブドメインにあるページで、ユーザーに暗号資産を回復するためにニーモニックシードフレーズを平文で入力するよう促すものが、ブロックチェーンセキュリティ専門家によって警告された。
彼らがCoinbaseのページ設定に対して主な不満を持っているのは、それがユーザーを典型的なソーシャルエンジニアリング攻撃にさらすリスクがあり、その被害がすでに犯罪者の手に渡っている可能性がある点である。
このページは、3月31日の期限前にCoinbase Commerceの終了プロセスの一環として公開された。
Coinbaseは顧客をフィッシング脅威にさらすことで非難を浴びている
Coinbaseのページは、ブロックチェーンセキュリティ企業SlowMistの創設者であるYu Xian（オンライン名：Evilcos）によって2026年3月19日に公に警告された。
Xian X 上で 氏はスクリーンショットを共有しつつ、「Coinbaseがこのようなページを持ち、資産回復のためにユーザーに平文のニーモニックフレーズを直接入力させる理由が本当に理解できない。このような不安全な慣行は信じられない…サブドメインがハッキングされたのかと思ったほどだ」と述べた。
この警報は、Coinbaseおよび一部のユーザーにとって敏感な時期に発生している。同社のCommerceプラットフォームは閉鎖の最終週にあり、数千の商人に資金の回復を緊急に迫っている。
これはまさに、ユーザーが焦り、資格情報をどこに入力するかについて注意が散漫になりやすいような、期限のプレッシャーである。
また、ユーザーはGoogle Driveなどのクラウドストレージサービスに保存したフレーズをコピーするオプションもある。
Coinbase自身のヘルプドキュメントでは、同社はユーザーのリカバリーフレーズを要求したりアクセスしたりすることは決してないと明記されており、これはCommerceのページが直接矛盾している原則である。
攻撃者はこれをどのように悪用できるのか？
研究者たちの懸念は、Coinbase自体がデータをどのように扱うかを超えている。彼らによれば、このページの設計は詐欺の青写真を提供しているという。
23pds、SlowMistのチーフインフォメーションセキュリティオフィサー（CISO）、 述べた: 「リンクは公式のCoinbaseウェブサイトからのものだが、資産を確認するためにユーザーにニーモニックフレーズを直接送信させるのは極めて愚かだ。」
23pds氏はまた、このページのもう一つの課題として、「リンク先のウェブサイトには欠陥のあるサイトマップがある。攻撃者はResourcesSaverなどのツールを使用してフロントエンドコードを簡単にダウンロードし、類似のウェブサイトをデプロイできる。これがCoinbaseに似たドメインを使用したフィッシング攻撃と組み合わせられれば、ユーザーは簡単に詐欺に引っかかるだろう」と付け加えた。
オンチェーン調査員 ZachXBTソーシャルエンジニアリングに関連する何億ドルもの暗号資産の盗難を文書化してきた同氏は、その評価を率直に述べた。
「つまり、Coinbaseには、攻撃者がシードフレーズによるソーシャルエンジニアリングを使ってCoinbaseユーザーを標的にするための公式ページが公開されているということですか？」と彼は書いた。続くコメントで、彼は「チームがこれを修正し、できるだけ早く削除してくれることを願っています」と付け加えた。
記事公開時点において、Coinbaseはこの問題に関する声明を出しておらず、ページも削除していなかった。
Coinbaseやそのユーザーは以前に搾取されたことがあるのか？
Coinbaseは過去に、 ソーシャルエンジニアリング脅威 に対する顧客対応を巡って批判を受けてきた。
2025年2月、ZachXBTは、わずか2ヶ月間でユーザーがこのような攻撃により6,500万ドル以上を失ったと報告した。これは、彼が推定する年間3億ドルの流出の一部である。調査官は、詐欺師が Coinbaseのサポートスタッフになりすまし 、クローン化された管理パネルを使用して攻撃をリアルタイムで自動化したパターンを特定した。
数ヶ月後、5月 2025 に、 データ侵害 が発生し、一部のユーザーの個人データが暴露された。 Coinbase 侵害は、海外のサポートエージェントを賄賂によって買収した犯罪者によって引き起こされたことが確認された。
同社は関与したスタッフを解雇し、規制当局に通知し、影響を受けたユーザーに1年間のクレジットモニタリングを提供した。また、補償費用や自発的な顧客補償に充てるため1億8,000万ドルから4億ドルを積み立て、逮捕につながる情報提供に対して2,000万ドルの報奨金を発表した。
現在のCommerceページは、悪意のある行為者にとって今まさに手っ取り早い標的と見なされており、Evilcosによる最近の警報は、交換業者が将来の搾取を軽減するために緊急の措置を取るよう促すべきである。
暗号通貨のニュースを読むだけでなく、それを理解しましょう。ニュースレターに登録してください。無料です。
免責事項。 ここに提供される情報は取引助言ではありません。 Cryptopolitan.com 当社は、このページに提供される情報に基づいて行われたいかなる投資に対しても責任を負いません。いかなる投資判断を下す前に、独立した調査および/または資格を有する専門家への相談を強く推奨します。
ハンナ・コリーモア
Hannahは、暗号通貨分野でほぼ10年にわたるブログ執筆およびイベントレポートの経験を持つライター兼編集者です。Cryptopolitanでは、ニュースページに寄稿し、DeFi、RWA（実世界資産）、暗号通貨規制、AI、フロンティアテック業界の最新の動向を報告・分析しています。アーケディア大学でビジネス経営の学位を取得しています。
