Analistas de segurança apontam a Coinbase por exposição ‘extremamente imprudente’ a phishing

Uma página em um subdomínio oficial da Coinbase que solicita aos usuários que insiram suas frases semente mnemônicas em texto claro para recuperar ativos cripto foi sinalizada por especialistas em segurança blockchain. 

A principal reclamação deles com a configuração da página da Coinbase é que ela arrisca expor os usuários a ataques clássicos de engenharia social, e que a exposição já pode estar nas mãos de criminosos.

A página foi publicada como parte do processo de encerramento do Coinbase Commerce antes do prazo de 31 de março.

A Coinbase atrai críticas por expor clientes a ameaças de phishing

Uma página da Coinbase foi sinalizada publicamente em 19 de março de 2026 por Yu Xian, conhecido online como Evilcos, fundador da empresa de segurança blockchain SlowMist. 

Xian escreveu no X ao mesmo tempo em que compartilhava capturas de tela, “Estou realmente perplexo por que a Coinbase teria uma página como essa, pedindo diretamente aos usuários que inserissem suas frases mnemônicas em texto claro para recuperação de ativos? Essa prática insegura é simplesmente inacreditável… Quase pensei que o subdomínio tivesse sido hackeado.”

O alarme também ocorre em um período sensível para a Coinbase e alguns de seus usuários, já que sua plataforma Commerce está nas últimas semanas de um encerramento, empurrando milhares de comerciantes a recuperar fundos urgentemente. 

Este é exatamente o tipo de pressão de prazo que torna os usuários apressados e menos cuidadosos sobre onde inserem suas credenciais. 

Também há a opção para os usuários copiarem as frases que salvaram em serviços de armazenamento em nuvem, como o Google Drive.

A própria documentação de ajuda da Coinbase afirma que a empresa nunca pedirá ou terá acesso à frase de recuperação de um usuário, um princípio que a página do Commerce parece contradizer diretamente.

Como isso poderia ser explorado por atacantes?

A preocupação entre os pesquisadores vai além do que a própria Coinbase possa fazer com os dados. O design da página, dizem eles, fornece um modelo para fraudes. 

23pds, Diretor de Segurança da Informação na SlowMist, declarou: “Embora o link seja do site oficial da Coinbase, pedir diretamente aos usuários que transmitam sua frase mnemônica para verificar ativos é extremamente imprudente.”

23pds também acrescentou que outro problema com a página é que “O site vinculado possui um sitemap defeituoso. Os atacantes poderiam facilmente usar ferramentas como ResourcesSaver para baixar o código front-end e implantar um site semelhante. Se isso for combinado com um domínio semelhante ao da Coinbase para ataques de phishing, os usuários poderiam facilmente cair na armadilha.”

Investigador on-chain ZachXBT, que documentou centenas de milhões de dólares em roubos de criptomoedas ligados à engenharia social, foi direto em sua avaliação. 

“Então, basicamente, a Coinbase tem uma página oficial ativa que os atores maliciosos podem usar para direcionar usuários da Coinbase por meio de engenharia social de frase semente, se quiserem?” ele escreveu. Em um comentário de acompanhamento, ele acrescentou: “Espero que a equipe corrija e remova o mais rápido possível.”

Até o momento da publicação, a Coinbase não fez nenhuma declaração abordando o problema nem removeu a página.

A Coinbase ou seus usuários já foram explorados antes?

A Coinbase já foi criticada no passado por sua gestão de ameaças de engenharia social direcionadas aos seus clientes. 

Em fevereiro de 2025, ZachXBT relatou que os usuários perderam mais de US$ 65 milhões para tais ataques em apenas dois meses, parte do que ele estimou ser um dreno anual de US$ 300 milhões. O investigador identificou padrões nos quais os fraudadores se passavam por funcionários de suporte da Coinbase e usavam painéis de administração clonados para automatizar ataques em tempo real.

Alguns meses depois, em maio 2025, houve um vazamento de dados que expôs os dados pessoais de um subconjunto de usuários. a Coinbase confirmou que o vazamento ocorreu como resultado de criminosos subornando agentes de suporte no exterior. 

A empresa demitiu os funcionários envolvidos, notificou os reguladores e ofereceu aos usuários afetados um ano de monitoramento de crédito. Ela também reservou entre US$ 180 milhões e US$ 400 milhões para cobrir custos de remediação e reembolsos voluntários aos clientes, e anunciou uma recompensa de US$ 20 milhões por informações que levem a prisões. 

A página atual do Commerce pode ser vista como alvo fácil para atores mal-intencionados neste momento, e o recente alarme de Evilcos deve levar a exchange a tomar medidas urgentes para mitigar qualquer exploração futura.