Coinbase: из-за взлома подрядчика Amplitude утекли контакты

Coinbase утверждает, что её не взламывали, однако контактные данные части клиентов раскрылись из-за инцидента безопасности в Amplitude — стороннем аналитическом сервисе, которым пользуется биржа. По словам компании, средства клиентов в безопасности, а её собственные системы не фиксируют несанкционированного доступа, сообщают служба поддержки Coinbase в X и CoinDesk. Вот что известно сейчас.

Coinbase отрицает прямой взлом

В среду появились сообщения о взломе Coinbase. Компания их опровергла: инцидент произошёл в Amplitude, а не в инфраструктуре Coinbase, и «средства клиентов остаются в безопасности». Пароли, приватные ключи и балансы в раскрытую информацию не входят.

Утечка началась у подрядчика

Amplitude — компания продуктовой аналитики, через которую многие приложения отслеживают, как люди пользуются их сервисами. Раскрытый массив охватывает контактные данные «небольшой части» клиентов Coinbase, а также данные других клиентов Amplitude. Это классический риск цепочки поставок: основные системы компании могут быть защищены, а партнёр, хранящий часть её данных, — нет.

Ключевых деталей пока нет

Coinbase не уточнила, сколько клиентов пострадало и какие именно поля утекли (email, номера телефонов или и то и другое). Пострадавших уведомляют по электронной почте, как того требует закон.

Почему контактные данные тоже важны

Email или номер телефона, привязанный к известному аккаунту Coinbase, — ценная находка для мошенников. С ними легко рассылать убедительные фейковые письма «аккаунт заблокирован», звонить от имени поддержки или уговаривать перевести средства на «безопасный кошелёк». На той же неделе об утечках данных после кибератак сообщили и южнокорейские компании, в том числе биржа Bithumb.

Что делать пользователям Coinbase сейчас

• Относитесь к неожиданным звонкам, SMS и письмам об аккаунте с подозрением; открывайте приложение сами, а не по ссылке.
• Сотрудники Coinbase никогда не просят пароль, коды 2FA или фразу восстановления. Прочитайте, что такое сид-фраза и почему она не нужна ни одной легальной службе.
• Используйте приложение-аутентификатор или аппаратный ключ вместо SMS-кодов.
• Никогда не переводите монеты на адрес, который вам продиктовали по телефону. Типичные сценарии собраны в гиде как распознать криптомошенничество.