Coinbase, известная крипто-биржа, через один из своих сервисов просит пользователей ввести сид-фразу кошелька. Это необходимо для интеграции средств с различных платформ. Основатель компании в сфере блокчейн-безопасности SlowMist Cosine обратил внимание на этот факт.
На поддомене биржи функционирует сервис withdraw.commerce.coinbase.com. Там пользователям предлагается ввести сид-фразу для переноса средств из устаревающей платформы Coinbase Commerce в другие кошельки, включая Coinbase Wallet и MetaMask, либо на внешние адреса. Система также предусматривает возможность копирования секретной фразы из облачного хранилища Google.
Эксперты в области кибербезопасности выразили опасения по поводу рисков компрометации кошельков, связанных с подобной практикой. Изначально предполагалось, что речь идёт о фишинговом ресурсе, но впоследствии выяснилось, что сайт является легитимным.
Блокчейн-исследователь ZachXBT присоединился к обсуждению и указал, что данную страницу можно использовать в атаках с применением социальной инженерии. По его оценке, злоумышленники могут побуждать пользователей вводить сид-фразы и таким образом получать доступ к их средствам.
В справочной документации Coinbase указано, что для объединения кошельков биржи и MetaMask требуется ввод сид-фразы. Без этого объединение балансов невозможно.
Coinbase проинформировала пользователей о необходимости вывести средства из Coinbase Commerce до 31 марта 2026 года. После этой даты инструмент вывода будет отключён, и доступ к средствам может быть утрачен.
Специалисты по кибербезопасности проанализировали код страницы withdraw.commerce.coinbase.com и указали на потенциальные уязвимости. В частности, отмечается некорректная работа карты сайта, что может облегчить копирование интерфейса и создание фишинговых копий ресурса на схожих доменах.
Следует отметить, что в декабре 2024 года Coinbase столкнулась с утечкой данных. О происшествии стало известно в мае 2025 года. В результате инцидента были скомпрометированы данные около 69 000 пользователей, а затраты на устранение последствий превысили 200 миллионов долларов. По данным расследования, злоумышленники подкупили сотрудников аутсорсинговой компании TaskUs, предоставлявшей Coinbase услуги поддержки клиентов.
