Coinbase: через злам підрядника Amplitude витекли контакти

Coinbase каже, що її не зламували, проте контактні дані частини клієнтів розкрилися через інцидент безпеки в Amplitude — сторонньому аналітичному сервісі, яким користується біржа. За словами компанії, кошти клієнтів у безпеці, а її власні системи не фіксують несанкціонованого доступу, повідомляють служба підтримки Coinbase в X та CoinDesk. Ось що відомо зараз.

Coinbase заперечує прямий злам

У середу з'явилися повідомлення про злам Coinbase. Компанія їх спростувала: інцидент стався в Amplitude, а не в інфраструктурі Coinbase, і «кошти клієнтів залишаються в безпеці». Паролі, приватні ключі та баланси до розкритої інформації не належать.

Витік почався в підрядника

Amplitude — компанія з продуктової аналітики, через яку багато застосунків відстежують, як люди користуються їхніми сервісами. Розкритий масив охоплює контактні дані «невеликої частини» клієнтів Coinbase, а також дані інших клієнтів Amplitude. Це класичний ризик ланцюга постачання: основні системи компанії можуть бути захищені, а партнер, який зберігає частину її даних, — ні.

Ключових деталей поки немає

Coinbase не уточнила, скільки клієнтів постраждало і які саме поля витекли (email, номери телефонів чи обидва). Постраждалих повідомляють електронною поштою, як того вимагає закон.

Чому контактні дані теж важливі

Email чи номер телефону, прив'язаний до відомого акаунта Coinbase, — цінна знахідка для шахраїв. З ними легко надсилати переконливі фейкові листи «акаунт заблоковано», дзвонити від імені підтримки або вмовляти перевести кошти на «безпечний гаманець». Того ж тижня про витоки даних після кібератак повідомили й південнокорейські компанії, зокрема біржа Bithumb.

Що робити користувачам Coinbase зараз

• Ставтеся до несподіваних дзвінків, SMS і листів про акаунт з підозрою; відкривайте застосунок самі, а не за посиланням.
• Співробітники Coinbase ніколи не просять пароль, коди 2FA чи фразу відновлення. Прочитайте, що таке сід-фраза і чому вона не потрібна жодній легальній службі.
• Використовуйте застосунок-автентифікатор або апаратний ключ замість SMS-кодів.
• Ніколи не переказуйте монети на адресу, яку вам продиктували телефоном. Типові сценарії зібрано в гіді як розпізнати криптошахрайство.