暗号資産取引所Coinbaseは、サードパーティのアナリティクスベンダーAmplitudeで発生したセキュリティインシデントにより、一部の顧客の連絡先データが影響を受けたと発表した。同社は、取引所自体は侵害されておらず、顧客資金にも影響がないと強調している。この発表は、海外のサポート担当者への賄賂を伴う侵害により顧客データが流出したとCoinbaseが公表してから17ヶ月後のことだ。

同社は、ベンダーの侵害と自社インフラとの間に明確な線引きを図った。「Coinbaseはデータ侵害を受けていません」と、同社のサポートアカウントが火曜夜にツイートで述べた。「アナリティクスベンダーのAmplitudeでセキュリティインシデントが発生し、他のAmplitude顧客とともに、一部のCoinbase顧客の連絡先データが影響を受けました。」

Coinbaseはデータ侵害を受けていません。アナリティクスベンダーのAmplitudeでセキュリティインシデントが発生し、他のAmplitude顧客とともに、一部のCoinbase顧客の連絡先データが影響を受けました。Coinbaseのシステムへの不正アクセスの証拠は確認されておりませんが… — Coinbase Support (@CoinbaseSupport) 2026年10月28日

この投稿は、Coinbaseのシステムへの不正アクセスは確認されていないと述べたところで文が途切れていた。

Coinbaseは、自社システムへの不正アクセスの証拠は確認されておらず、顧客資金は「影響を受けていない」と述べた。同社は法的義務に基づき、影響を受けた顧客および規制当局への通知を進めているという。

同取引所は、影響を受けた顧客の数、流出した連絡先データの種類、インシデントの発生日時を明らかにしていない。また、このベンダーのセキュリティインシデントに巻き込まれた他のAmplitude顧客についても特定していないため、事象の規模をめぐる基本的な疑問は残されたままである。こうした通知は、インシデントの規模に関するさらなる詳細が明らかになる可能性があると発表されている主な経路であり、「他のAmplitude顧客」という言及は、共有のアナリティクスプロバイダーでの一つの侵害が、一度に多くの企業に影響を及ぼしうることを浮き彫りにした。

2025年のデータ侵害

2025年5月、Coinbaseははるかに深刻なインシデントを公表した。同社によると、サイバー犯罪者が海外のカスタマーサポート担当者に賄賂を渡し、月間取引ユーザーの1%未満に属する個人データを盗み出していたという。同取引所は2,000万ドルの身代金要求を拒否し、代わりに攻撃者の逮捕につながる情報に対して2,000万ドルの賞金を提示した。

その後のメイン州司法長官への届け出では、影響を受けた顧客数は69,461人とされ、氏名、住所、マスク処理された社会保障番号、公的身分証の画像などが流出したデータに含まれていた。2つのインシデントは、それぞれサポート担当者とアナリティクスベンダーという異なる経路を通じて顧客データに達した。

パートナー経由で流出するデータ

暗号資産企業では、アナリティクスベンダーや配送業者など、取引所自身のシステム外のサードパーティパートナーを通じて顧客データが流出する事例が繰り返し発生している。9月には、ハードウェアウォレットメーカーのTrezorが、配送業者ShipMonkへの侵害により、6万7,000人の米国顧客の氏名、電話番号、自宅住所が流出したと発表した。8月に公表されていた約1万4,000人分に追加されるものである。一部の記録は2019年にまで遡り、ShipMonkがTrezorに削除を伝えてから数年経過していた。Trezorは、影響を受けた顧客に対し、偽のメール、電話、手紙への警戒と、身体的な安全へのリスクについて注意を呼びかけた。

当時、サイバー犯罪コンサルタントのDavid Sehyeon Baek氏はDecryptに対し、氏名と自宅住所を含む手紙は「あなたの場所を特定できる」というシグナルであり、盗まれたデータは人はめったに引っ越さず電話番号も変更しないため、何年も有用性を保つと語った。こうした事情が、資金に手つかずの場合であっても、Coinbaseのような連絡先データ流出の公表が大きな注目を集める理由を説明している。氏名、電話番号、自宅住所は、まさにTrezorが警告した偽のメール、電話、手紙の原材料となるからだ。

出典: Decrypt