Coinbaseは、外部データ分析サービスAmplitudeで発生した事案により、一部顧客の連絡先情報が影響を受けたと明らかにしました。自社システムへの不正アクセスを示す証拠はなく、顧客資産にも影響はないとしています。一方、韓国では暗号資産取引所Bithumbと金融機関2社がサイバーセキュリティ事案を報告しました。暗号資産やカストディシステムが直接侵害されなくても、個人情報の流出が標的型詐欺やアカウント攻撃につながる可能性があります。
Coinbase、対象顧客と規制当局への通知を開始
Coinbaseは10月28日、Xへの投稿で、外部分析サービス事業者Amplitudeに関連する事案が一部顧客に影響したと説明しました。対象となる顧客と規制当局への通知を進めていますが、影響を受けた人数や流出した具体的な連絡先情報の種類は公表していません。
同社によると、現時点で攻撃者がCoinbaseのシステムに不正アクセスした証拠は確認されておらず、顧客資産も安全です。確認されているのは外部サービスに関わる情報露出で、取引所の中核システムや顧客資産の侵害を示すものではありません。情報がどこまで影響を受けたかは、引き続き調査されています。
韓国のBithumbと金融機関2社でも事案
韓国の金融当局は水曜日、調査を開始しました。証券会社のDaishinは、10月17日に不審な動きを検知し、顧客38,490人の個人情報と金融関連情報が露出したことを確認したと発表しました。対象情報には、氏名、メールアドレス、居住住所、ログインID、銀行名のほか、暗号化された口座情報と電話番号が含まれます。同社は、中核業務システムへの不正アクセスや、その後の情報悪用は確認されていないとしています。
Bithumbでは、攻撃者が社内の従業員向け通信システムにアクセスしました。関連情報には従業員、子会社、取引先が含まれるとされ、顧客記録への影響の有無は調査中です。韓国金融委員会は、ウォレットアドレスや不正な暗号資産送金に悪用できる情報の流出は、現時点で確認されていないと説明しました。
Mirae Asset Global Investmentsも、社内のウェブシステムへの不正アクセスを確認しましたが、投資家情報や機微な財務記録への影響はないとしています。これらの発表を受け、規制当局は緊急会合を開き、現地調査を実施しました。韓国ではこれに先立ち、金融機関16社がサイバーセキュリティ事案の影響を受けています。
CZ、流出情報を使った標的型攻撃に警鐘
Binance創業者の趙長鵬（Changpeng Zhao）氏はXへの投稿で、同日に4件のデータ流出事案があったと指摘しました。流出した顧客情報がフィッシング、SIMスワップ、ソーシャルエンジニアリングに利用される可能性があると警告しています。住所情報が暗号資産の保有情報と結び付けば、恐喝や強盗のリスクも高まりかねないと述べました。
同様の事案は取引所に限られません。今年は、イスラエルの暗号資産ブローカーBits of GoldやハードウェアウォレットメーカーTrezorでもセキュリティ上の問題が発生しました。Bits of Goldは8月、分析基盤への不正アクセスを公表。顧客の氏名、連絡先、イスラエルの身分証番号、銀行情報、公開ウォレットアドレスが影響を受けた可能性があるとしました。
Trezorの物流委託先ShipMonkで発生した事案では、顧客の氏名、電話番号、配送先住所が露出しました。また、Trezorのメールサービス事業者Brevoに関わる9月の事案では、マーケティング用メールアドレス347,149件が持ち出され、その後、ウォレットのリカバリーフレーズを聞き出そうとする詐欺メールが送られました。
趙氏は、取引所のアカウントには専用のメールアドレスと電話番号を使い、SMS認証の代わりにパスキーやハードウェアセキュリティキーを利用するよう提案しました。また、出金制限の設定、ログイン中のセッションやAPI権限の定期確認、取引所サポートを名乗る予期しない連絡への警戒も挙げています。各機関で影響を受けた範囲や情報の種類は異なり、一部の調査は続いています。