Coinbaseは火曜日遅くの声明で、分析ツールベンダーAmplitudeで発生したセキュリティインシデントにより、同社の顧客の「一部」の連絡先データが漏洩したと発表しました。その一方で、取引所自身のシステムへの侵入は確認されていないとしています。同社は、他のAmplitudeクライアントも影響を受けていると付け加えました。

この一件は、暗号資産企業にとって繰り返し現れる弱点を浮き彫りにしています。第三者ツールと共有した顧客データは、自社システムに侵入の兆候がなくても漏洩し得るのです。

「Coinbaseはデータ漏洩を経験していない」と、取引所のサポートアカウントはXへの投稿で述べました。投稿では、この一件を分析ツールベンダーAmplitudeにおけるセキュリティインシデントとして位置づけ、他のAmplitude顧客とともに「Coinbase顧客の連絡先データの一部」が影響を受けたと説明しています。

Coinbaseは、自社システムへの不正アクセスの兆候は確認されず、顧客資金にも影響はないと述べています。同社は法律で義務付けられている範囲で、影響を受けた顧客および規制当局への通知を進めています。影響を受けたユーザー数、漏洩したデータ項目、Amplitudeインシデントの発生日時は明らかにされておらず、通知プロセスが進む中でこれらの詳細は依然として不明のままです。

SlowMist幹部、7万人超が被害を受けたと主張

Coinbaseが声明を発表する約30分前、ブロックチェーンセキュリティ企業SlowMistの最高情報セキュリティ責任者である23pdsはXへの投稿で、侵害が確認されたこと、およびハッカーが7万人を超えるユーザーの連絡先情報を入手したことを明らかにしました。同じ投稿によると、パスワードや資金が盗まれたかどうかはすぐには判明していないといいます。

Coinbaseは7万人という数字を確認しておらず、顧客の「一部」が関与したと繰り返し述べるのみです。取引所が独自の集計を示していないため、両者の主張の隔たりは報道時点で解決されていません。

流出した顧客リストは詐欺師に格好のフィッシング標的を与える

連絡先情報の漏洩では、パスワード、鍵、資金は影響を受けませんが、こうしたデータはフィッシングやソーシャルエンジニアリングの格好の餌食となります。Coinbaseユーザーにとって、この懸念は過去の前例に基づくものです。ユーザーの連絡先情報は過去のインシデントでも流出し、なりすまし詐欺に悪用されてきました。

同様の問題は2026年8月、ハードウェアウォレットメーカーのSafePalでも発生しました。アクセス制御の脆弱性により、約39,798人分の顧客の注文データが漏洩したのです。SafePalは、Cryptopolitanが報じたところによると、詐欺師が盗んだ情報を使って偽のサポート電話をかけ、偽の返金を提案し、偽のソフトウェアアップデート要求を送り、クローンフィッシングサイトへのリンクを配布する可能性があると警告しています。

Coinbaseの顧客も同様の脅威に直面してきました。2025年5月、取引所は、犯罪者が海外のサポート担当者に賄賂を渡して一部ユーザーの個人情報を引き出していた侵害を公表しました。Coinbaseは、犯罪者がその顧客リストを使って取引所になりすまし、ユーザーを騙して暗号資産を送金させようとしていたと述べました。同社はこの問題への対処と顧客への補償のために1億8000万ドルから4億ドルを計上し、逮捕につながる情報に2000万ドルの報奨金を提供しました。

オンチェーン調査者のZachXBTは2025年2月、こうした詐欺による被害額は年間約3億ドルに上り、2か月間でCoinbaseユーザーが6,500万ドル以上を失ったと推定していました。

2026年3月には、同じSlowMist幹部の23pdsが、ユーザーにリカバリーフレーズの入力を求めていた公式のCoinbase Commerceページを批判し、資産確認のためにユーザーにニーモニックフレーズを送らせることは「極めて愚か」だと述べました。