Coinbase สั่งให้ผู้ใช้ทำตามขั้นตอน 'โง่เขลา' เดียวกับที่มошенники ใช้ในการถอนเงินจากกระเป๋า

Coinbase กำลังนำผู้ใช้ Commerce บางรายไปยังขั้นตอนการกู้คืนด้วย seed phrase ก่อนกำหนดเส้นตายการย้ายข้อมูลในวันที่ 31 มีนาคม

ปัญหานี้อยู่ภายในแผนการปิดระบบกระเป๋าเงิน Commerce แบบเดิมของ Coinbase ในคู่มือการเปลี่ยนผ่าน Coinbase ระบุว่าผู้ใช้ที่มีเงินในกระเป๋าเงิน Commerce จะต้องถอนเงินออกก่อนวันที่ 31 มีนาคม 2026 เมื่อพอร์ทัล Commerce และเครื่องมือถอนเงินจะไม่สามารถเข้าถึงได้อีกต่อไป

สำหรับผู้ใช้ที่สำรองข้อมูลกระเป๋าเงินไปยัง Google Drive Coinbase ระบุว่าพวกเขาควรไปที่แดชบอร์ด Commerce เปิดการตั้งค่าและความปลอดภัย เปิดเผย seed phrase 12 คำ และใช้เครื่องมือถอนเงินที่ withdraw.commerce.coinbase.com

Coinbase กล่าวว่ากระบวนการนี้มีความสำคัญเป็นพิเศษสำหรับผู้ขายที่ได้รับ Bitcoin หรือสินทรัพย์อื่นๆ ที่ใช้ UTXO เพราะยอดเงินอาจยากที่จะแสดงในกระเป๋าเงินมาตรฐาน

Seed phrase คือกุญแจหลักในการกู้คืนสำหรับกระเป๋าเงินแบบ self-custody เอกสารกระเป๋าเงินของ Coinbase เองอธิบายว่าเป็นวลีกู้คืน 12 คำที่มีเพียงผู้ใช้เท่านั้นที่สามารถเข้าถึงได้

ใครก็ตามที่ควบคุมวลีนั้นจะควบคุมการเข้าถึงกระเป๋าเงินและเงินทุน หากสูญหายก็อาจสูญเสียการเข้าถึงเงินทุน หากถูกเปิดเผยเงินในกระเป๋าเงินอาจถูกดูดออกไป

นั่นคือจุดที่ความขัดแย้งยากที่จะมองข้าม คำแนะนำกระเป๋าเงินของ Coinbase บอกผู้ใช้ว่าไม่ควรแชร์วลีกู้คืน บอกว่าบริษัทจะไม่มีวันขอมัน และเพิ่มคำเตือนแยกต่างหาก: "ไม่ควรวางมันในเว็บไซต์ใดๆ"

แต่คู่มือการเปลี่ยนผ่าน Commerce บอกให้ผู้ใช้บางรายเปิดเผยวลีเดียวกันนั้นเป็นส่วนหนึ่งของเส้นทางการกู้คืนอย่างเป็นทางการที่ Coinbase เป็นเจ้าภาพ

คำอธิบายของบริษัทคือกระเป๋าเงิน Commerce เป็นแบบ self-custodial และ Coinbase ไม่สามารถเข้าถึงวลีหรือเงินทุนได้ ซึ่งทำให้ผู้ใช้มีความรับผิดชอบในการกู้คืนก่อนการปิดระบบ

นักวิจัยด้านความปลอดภัยมองเห็นเทมเพลตฟิชชิ่ง

อย่างไรก็ตาม ข้อกำหนดของ Coinbase นี้ได้ทำให้ระฆังเตือนดังขึ้นสำหรับผู้เชี่ยวชาญด้านความปลอดภัยหลายคน ที่กำลังวิพากษ์วิจารณ์แพลตฟอร์มสำหรับพฤติกรรมที่หน้าเว็บสอนให้ผู้ใช้ยอมรับ

Yu Xian ผู้ก่อตั้งบริษัทความปลอดภัยบลอกเชน SlowMist กล่าวว่าเขางงว่าทำไม Coinbase ถึงโฮสต์หน้าเว็บที่ขอให้ผู้ใช้ป้อน mnemonic phrase ในรูปแบบข้อความธรรมดาเพื่อการกู้คืนสินทรัพย์ และกล่าวว่าการปฏิบัตินี้ไม่ปลอดภัยมากจนเขาสงสัยในตอนแรกว่าซับโดเมนถูกแฮ็กหรือไม่

คำเตือนได้ทำให้คำวิจารณ์หลักเกี่ยวกับหน้าเว็บคมชัดขึ้น: แบรนด์อย่างเป็นทางการ กำหนดเส้นตายเร่งด่วน และเวิร์กโฟลว์ seed phrase รวมกันเป็นรูปแบบที่ผู้โจมตีมักจะเลียนแบบ

ในขณะเดียวกัน 23pds หัวหน้าเจ้าหน้าที่ความปลอดภัยสารสนเทศของ SlowMist เขียนบน X ว่ามี "สองปัญหา" กับเวิร์กโฟลว์นี้ ประการแรกเขากล่าวว่า:

ประการที่สอง เขาสังเกตว่าไซต์มี sitemap ที่มีข้อบกพร่องซึ่งอาจให้ผู้โจมตีคัดลอก front end และปรับใช้โคลนที่ใกล้เคียงบนโดเมนที่ดูคล้ายกัน สร้างเหยื่อฟิชชิ่งที่แข็งแกร่งสำหรับผู้ใช้ที่พร้อมที่จะเชื่อถือเวอร์ชัน Coinbase อยู่แล้ว

นอกจากนี้ นักสืบสวนบลอกเชน ZachXBT ยังกดดันในประเด็นนั้นโดยตรงมากยิ่งขึ้น ในโพสต์บน X เขาเขียนว่า:

ความกังวลของพวกเขาไม่น่าแปลกใจ เมื่อพิจารณาว่าการหลอกลวงแบบฟิชชิ่งและ social engineering ยังคงเป็นหนึ่งในเวกเตอร์การโจมตีที่ทรงพลังที่สุดต่ออุตสาหกรรมคริปโต

ปีที่แล้ว ZachXBT เปิดเผยว่าผู้ใช้ Coinbase สูญเสียมากกว่า 300 ล้านดอลลาร์ต่อปีเนื่องจากการหลอกลวง social engineering

สิ่งนี้จับภาพว่าทำไมเวิร์กโฟลว์ Commerce จึงกระตุ้นให้เกิดปฏิกิริยารุนแรงเช่นนี้ ทีมความปลอดภัยใช้เวลาหลายปีสอนผู้ใช้ว่าคำขอใดๆ ที่เกี่ยวข้องกับ seed phrase คือจุดเริ่มต้นของการหลอกลวง

อย่างไรก็ตาม หน้าเว็บที่ Coinbase เป็นเจ้าของที่จัดการวลีเดียวกันอาจเปลี่ยนสัญญาณภาพและพฤติกรรมที่ผู้ใช้ได้รับการสอนให้พึ่งพา

ประวัติการละเมิดของ Coinbase แขวนอยู่เหนือการถกเถียง

ในขณะเดียวกัน การถกเถียงด้านความปลอดภัยส่งผลกระทบหนักขึ้นเพราะ Coinbase กำลังจัดการกับผลที่ตามมาของเหตุการณ์ social-engineering ในอดีต

ในเดือนพฤษภาคม 2025 Coinbase รายงานว่าอาชญากรไซเบอร์ติดสินบนกลุ่มเจ้าหน้าที่สนับสนุนต่างประเทศให้ขโมยข้อมูลลูกค้าสำหรับการโจมตี social-engineering

ตลาดที่นำโดย Brian Armstrong กล่าวว่าผู้โจมตีได้รับข้อมูลบัญชีของผู้ใช้ที่ทำธุรกรรมรายเดือนน้อยกว่า 1% และใช้มันเพื่อรวบรวมรายชื่อลูกค้าที่พวกเขาสามารถติดต่อได้โดยแกล้งทำเป็นมาจากแพลตฟอร์ม

บริษัทกล่าวว่าไม่มี private key ถูกเปิดเผยและสัญญาว่าจะคืนเงินให้ลูกค้าที่ถูกหลอกให้ส่งเงินไปยังผู้โจมตี

นอกจากนั้น บริษัทยังมีบันทึกการละเมิดก่อนหน้านี้

Coinbase กล่าวในรายงานประจำปี 2024 ว่าในปี 2021 บุคคลที่สามได้รับข้อมูลประจำตัวการเข้าสู่ระบบและข้อมูลส่วนบุคคลของลูกค้าอย่างน้อย 6,000 รายและใช้รายละเอียดเหล่านั้นเพื่อใช้ประโยชน์จากช่องโหว่ในกระบวนการกู้คืนบัญชี บริษัทกล่าวว่าได้คืนเงินให้ลูกค้าที่ได้รับผลกระทบประมาณ 25.1 ล้านดอลลาร์

ประวัตินั้นยกระดับความเสี่ยงเกี่ยวกับเวิร์กโฟลว์อย่างเป็นทางการใดๆ ที่ขอให้ผู้ใช้จัดการ seed phrase บนหน้าเว็บที่ทำงานอยู่

นักวิจัยด้านความปลอดภัยเตือนว่าอินเทอร์เฟซแบรนด์ดังกล่าวที่ทำให้การป้อน seed phrase เป็นเรื่องปกติจะเพิ่มการโจมตีแบบฟิชชิ่งและการปลอมแปลงตัวตนมากขึ้น ซึ่งยังคงเป็นหนึ่งในวิธีการโจมตีที่มีประสิทธิภาพที่สุดของอุตสาหกรรม

โพสต์ Coinbase สั่งให้ผู้ใช้ปฏิบัติตามขั้นตอน 'โง่เขลา' เดียวกันที่มошนники ใช้เพื่อถอนเงินจากกระเป๋าเงิน ปรากฏครั้งแรกบน CryptoSlate