Coinbase、Amplitudeベンダーのインシデントで顧客の連絡先データが流出したと発表

BitcoinWorldCoinbase、Amplitudeベンダーのインシデントで顧客の連絡先データが流出したと発表
Cryptopotatoによると、Coinbaseは水曜日、サードパーティーの分析プロバイダーであるAmplitudeで発生したセキュリティインシデントにより、顧客の「ごく一部」の連絡先データが流出したと発表しました。ナスダック上場の同取引所は、自社システムへの不正アクセスを示す証拠は見つかっておらず、顧客資産への影響もなかったと述べました。
分析ベンダーのAmplitudeで発生したセキュリティインシデントにより、顧客の連絡先データの「ごく一部」が流出したものの、Coinbaseは自社システムへの侵害を否定しました。顧客資産への影響はなく、取引所は影響を受けた顧客と規制当局に通知しています。主な事実
Coinbaseによると、分析サービスを提供するAmplitudeでセキュリティインシデントが発生し、同社の他の顧客とともに、Coinbaseの顧客の「ごく一部」の連絡先データが露出しました。
取引所によると、顧客資金への影響はなく、Coinbaseのシステムへの不正アクセスを示す証拠も見つかっていません。
Coinbaseは法的義務に従って、影響を受けた顧客と規制当局への通知を進めていますが、影響を受けたユーザーの人数や、露出した連絡先情報の内容は明らかにしていません。
SlowMistの最高情報セキュリティ責任者「23pds」は、ハッカーが7万人を超えるユーザーの連絡先情報を入手したと主張しました。
これとは別に、韓国のBithumbは10月27日、社内のモバイル向けグループウェアシステムへの異常なアクセスを検知し、翌日には一部の顧客の個人データが漏えいしたと報じられました。
Coinbaseが明らかにしたこと、明らかにしていないこと
CoinbaseのサポートアカウントはX上でこのインシデントに直接言及し、取引所自体への侵入はなかったと主張しました。同社は、Amplitudeのインシデントがいつ発生したのか、どのような連絡先データが関係したのか、Amplitudeの他のどの顧客が影響を受けたのかを明らかにしていません。
報道時点で、Amplitudeは情報漏えいがどのように発生したかについて公式声明を発表していませんでした。Cointelegraphによると、同メディアは影響を受けた顧客数についてCoinbaseに問い合わせましたが、記事公開時点で回答は得られていませんでした。
両者の説明には注目すべき隔たりがあります。Coinbaseは情報露出の規模を相対的な表現でしか説明していない一方、7万人超という数字は同社ではなく、外部のセキュリティ研究者が示したものです。連絡先だけのデータでもリスクはあります。露出したメールアドレスや電話番号は、攻撃者にフィッシングやソーシャルエンジニアリングの手がかりを与えます。特に、顧客がすでに信頼しているブランドを装ったメッセージには注意が必要です。
Coinbaseでデータ関連のインシデントが起きたのは今回が初めてではありません。2025年5月、同取引所は、サイバー犯罪者が海外のカスタマーサポート担当者に賄賂を渡して個人データを盗み出した情報漏えいを公表しました。また、攻撃者の逮捕につながる情報に対して2000万ドルの報奨金を提示し、2000万ドルの身代金要求を拒否しました。その後、メイン州司法長官への届け出で、影響を受けた顧客数は69,461人とされ、氏名、住所、マスキング処理された社会保障番号、政府発行身分証明書の画像が露出したことが明らかになりました。Decryptの報道によると、Coinbaseは補償および問題修復の費用を最大4億ドルと見積もりました。
より広範な委託先リスクの問題
Coinbaseの情報開示は、暗号資産業界内外の他のデータセキュリティ関連の報道と同じ日に行われました。韓国第2位の暗号資産取引所Bithumbは、10月27日に異常なアクセスが検知された後、社内業務プラットフォームで発生したインシデントの全容解明を進めていたと、聯合ニュースが報じました。証券会社の大信証券は38,490人の顧客に関わる情報漏えいを報告し、露出したデータには氏名、メールアドレス、電話番号が含まれていました。Mirae Asset Global Investmentも影響を受けました。
サードパーティーのサービス提供者は、繰り返し弱点となっています。ハードウェアウォレットメーカーのTrezorによると、配送業者ShipMonkでの情報漏えいにより、米国の顧客67,000人の氏名、電話番号、自宅住所が露出しました。これは、以前に公表された約14,000人分に加わるもので、その中には2019年までさかのぼる記録も含まれていました。ShipMonkは何年も前に、それらの記録を削除したとTrezorに伝えていました。Trezorは9月にも、サードパーティーのサービス提供者に関連するフィッシングメールについて警告しました。そのメールは、STM32マイクロコントローラーの欠陥によってウォレットのリカバリーフレーズが危険にさらされる可能性があると虚偽の主張をしていました。同社はフィッシングサイトのドメインを停止させたと述べています。
重要な理由
個人の顧客にとって実際に懸念すべきなのは、取引所の貸借対照表ではなく、受信箱と電話です。実在する取引所の名前を挙げ、実際に登録されている連絡先に届くメッセージは、見抜くのがはるかに困難です。また、人々は電話番号を変えたり引っ越したりすることがめったにないため、盗まれた連絡先情報は何年にもわたって悪用される可能性があります。
Coinbaseにとって今回の一件は、推定で最大4億ドルの問題修復費用がかかった2025年の情報漏えいよりも小規模で、影響範囲が限定された事案への対応力が試される出来事です。分析サービスなどの委託先は、企業が最も厳重に監視するネットワーク境界の外にいることが多い一方で、攻撃者がまさに狙う顧客識別情報を扱っています。Amplitudeがどれだけ迅速にインシデントを説明するか、またCoinbaseが影響を受けた顧客の範囲をどれだけ正確に特定するかによって、今回の件が限定的な委託先の問題と受け止められるか、より広範な管理不備と見なされるかが左右されるでしょう。
今後の注目点
Amplitudeは情報漏えいがどのように発生したかについて、まだ公式説明を発表しておらず、Coinbaseも顧客数を明らかにしていません。Bithumbも影響を受けた顧客数と露出した情報の内容を引き続き調査しており、ソウルからのさらなる発表が、この一連のインシデントに関する次の具体的な情報となります。
よくある質問
 Coinbase自体がハッキングされたのですか？
Coinbaseは、ハッキングされていないとしています。同社は、自社システムへの不正アクセスを示す証拠は見つかっておらず、顧客資金への影響もなかったと述べ、情報露出は分析サービスを提供するAmplitudeで発生したセキュリティインシデントによるものだと説明しました。
 何人のCoinbase顧客が影響を受けましたか？
Coinbaseは人数を明らかにしておらず、顧客の「ごく一部」とだけ説明しています。一方、SlowMistの最高情報セキュリティ責任者で「23pds」の名で知られる人物は、ハッカーが7万人を超えるユーザーの連絡先情報を入手したと主張しました。
 どのようなデータが露出しましたか？
Coinbaseは顧客の連絡先データが関係したと述べましたが、具体的にどの情報が露出したかは明らかにしていません。露出したメールアドレスや電話番号は、フィッシングやソーシャルエンジニアリングに利用されるおそれがあるため、顧客は予期しないメッセージに注意してください。
Coinbaseで2025年に発生した情報漏えいとは？
2025年5月、Coinbaseは別の情報漏えいを公表しました。この事件では、サイバー犯罪者が海外のカスタマーサポート担当者に賄賂を渡し、個人データを盗み出しました。その後、メイン州司法長官への届け出で、影響を受けた顧客数は69,461人とされ、取引所は補償および問題修復の費用を最大4億ドルと見積もりました。
「Coinbaseによると、Amplitudeの委託先で発生したインシデントで顧客の連絡先データが露出」の記事は、BitcoinWorldに最初に掲載されました。