ベンダー情報漏洩発覚、コインベースは不正侵入を否定

7万人のユーザーが影響を受けたとの主張が広まる中、コインベースは直接的な侵害を否定

今週、コインベースは、顧客情報を処理するサードパーティの分析プロバイダーであるAmplitudeに関連するセキュリティインシデントを認めました。この公表は、攻撃者が7万人以上のコインベースユーザーの連絡先情報を入手したという主張がX上で拡散されたことを受けたものです。

これと並行して、コインベースは自社のインフラが侵害されたという指摘を否定し、ベンダーデータの漏洩と取引プラットフォームへの不正アクセスとは明確に区別しました。この中央集権型取引所（CEX）プラットフォームのXアカウントは次のように述べました。

「コインベースではデータ漏洩は発生していません。分析ベンダーであるAmplitudeでセキュリティインシデントが発生し、Amplitudeの他の顧客と同様に、コインベースの顧客連絡先データのごく一部が影響を受けました。 Coinbaseのシステムへの不正アクセスを示す証拠は見つかっておらず、顧客の資金にも影響はありませんでした。当社は法的義務に従い、影響を受けた顧客および規制当局に通知を行っています。」

同社は、影響を受けた顧客の数、具体的にどのような情報が漏洩したか、あるいは攻撃者がどのようにアクセス権を取得したかについては明らかにしていません。Delcrxptoやセキュリティ企業Slowmistの幹部である23pdsを含む複数のアカウントが7万人のユーザーという数字を拡散していますが、本稿執筆時点では未確認のままである。

サードパーティ経由の情報流出がフィッシング攻撃の懸念を高める

Amplitudeは、企業が顧客のエンゲージメントやデジタル製品とのやり取りを測定するのに役立つ分析技術を提供しています。このような仕組みでは、ベンダーでセキュリティ上の不具合が発生した場合、企業の主要インフラの外に情報が流出する可能性があります。二次的な情報源は、メールアドレスや電話番号が漏洩した可能性のある情報として特定していますが、Coinbaseはこれらの具体的な項目について独自に確認していません。

パスワード、秘密鍵、リカバリーフレーズ、口座残高の漏洩は報告されていません。とはいえ、漏洩した連絡先情報は、詐欺師が標的型フィッシング攻撃、いわゆる「レンチ攻撃」、詐欺的なカスタマーサポート電話、SIMスワップの試みを行うための材料を提供する可能性があります。 この区別は重大な意味を持ちます。犯罪者は取引所の担当者を装い、顧客に認証情報を明かすよう説得するために、必ずしも取引所のサーバーへのアクセスを必要としません。コインベースは規定に従い、影響を受けた顧客および規制当局に通知を行っていると述べました。

以前の外部業者による情報漏洩でコインベースは数億の損害を被った

今回の開示は、2025年5月に発覚した、はるかに甚大な被害をもたらした請負業者関連の事件に続くものです。当時、Taskus社に勤務する賄賂を受け取ったカスタマーサポート担当者が、69,461人のCoinbaseユーザーに属する機密情報に不正にアクセスしました。この特定の事件では、個人識別記録、財務情報、および限定的な取引履歴が関与していました。

攻撃者は2,000万ドルの身代金を要求したが、コインベースは支払いを拒否した。一方、復旧費用および関連費用は数億ドルに達した。 今回のインシデントでは顧客資産の損失やコインベースのシステムへの侵入は報告されておらず、影響範囲ははるかに狭いようです。また、発生時期も10月29日（木）に予定されている第3四半期の決算発表を控えており、同取引所が厳しい監視下に置かれることとなりました。

現時点ではコインベースは自社のシステムについて安心感を示しているものの、ベンダーへの侵入自体に関する詳細はほとんど明らかにしていません。未解決の疑問は、Amplitudeの管理下からどれだけの顧客情報が流出したのか、そして現在誰がそれを保有しているのかという点です。