「内部の幽霊」とコインベースの5ヶ月間の「耳が聞こえず口がきけない」状態

執筆者: Jaleel Plus Six、BlockBeats

Coinbase は最近のユーザーデータ漏洩を非常にスマートに処理しました。最初の暗号通貨株として、また S&P 500 に加わった最初で唯一の企業として、まさに優雅な成り行きです。

礼儀として、著者は Coinbase に対して基本的な敬意を表しました。次は、この会社を恥の柱に吊るすときです。

5月8日、暗号資産探偵ZachXBTは自身の個人チャンネルにメッセージを投稿し、「ソーシャルエンジニアリング」を通じてさらに4,500万ドルがCoinbaseユーザーから詐取されたと明言した。過去数カ月間に彼が追跡した同様の事件の金額は9桁に達した。詐欺師は通常、Coinbase のカスタマー サービスになりすましてユーザーに電話やメールを送り、公式 Web サイトに偽装したフィッシング リンクをクリックするように段階的に誘導し、詐欺師のウォレットに資金を送金します。

ソーシャル エンジニアリングによってユーザーが騙されたという人もいます。これは Coinbase とどう関係があるのでしょうか? 「このプラットフォームは政府の規制機関ではないので、ユーザーがフィッシングメールをクリックするのをどうやって防ぐことができるのでしょうか？」

まず第一に、他の大手取引プラットフォームでは、これほど大規模な同様の詐欺問題に遭遇したことはありません。第二に、多くの被害者は、詐欺師が口座残高や取引時間を正確に述べただけでなく、身分証明書の写真を提示することさえできたと報告しています。 「すべてがあまりにも現実的に思えた。」

すべてが Coinbase のデータ漏洩を指し示している。

Coinbase 自身が何と言ったか見てみましょう。 5月14日にSECに提出された8-K文書によると、コインベースは2025年1月にセキュリティシステムを通じて、一部の海外カスタマーサービス担当者が「業務上の必要性」なくユーザーの完全な身元情報にアクセスしたことを発見したという。

Coinbase が 5 月 20 日にメイン州司法長官事務所に提出した報告書を見ると、データ侵害はさらに早い 2024 年 12 月 26 日に発生しています。

メイン州の報告書では、違反が 2024 年 12 月 26 日に発生し、脆弱性が 2025 年 5 月 11 日に発見されたことが示されています

しかし、この事件が発表されたのは 5 月 15 日であり、その 公式 Web サイトの発表には、犯罪者が Coinbase の海外のカスタマー サービス スタッフをターゲットにし、内部関係者から現金でユーザー データを購入したことが示されています。このデータには、名前、住所、電話番号、電子メール、政府発行の身分証明書の画像（運転免許証、パスポートなど）、口座残高のスナップショット、取引記録が含まれます。

つまり、データが盗まれたのは冬の早い時期だったが、春が過ぎた今、S&P 500 への組み入れという重要な局面で、Coinbase はこの「目に見えない問題」に真正面から取り組まざるを得なくなり、ハッカーから事件を正式に公表するよう脅迫メールを受け取ったという通知を出したのだ。

Coinbase自身によると、異常なアクセスを発見した後、関係者を解雇し、セキュリティ監視を強化したとのこと。しかし、この 5 か月間に Coinbase から発信された唯一の「ユーザー コミュニケーション」は、3 月末に送信された漠然とした当たり障りのないメールだけで、その内容は、従業員が「規則に違反して」アカウント記録を閲覧した可能性があるというものでした。

「Coinbase の従業員が、お客様のアカウントを含む少数の Coinbase 顧客のアカウント記録を、社内ポリシーに反する方法で閲覧した可能性がある兆候が検出されました。」

The Block の共同設立者である Mike Dudas 氏は以前、X で、Coinbase から不安を煽るメールを受け取ったと明かしています。

これ以降、この事件に関して公式の公表やさらなる調査は行われていません。

さらに「エキサイティングな」ことが起こります。

データ漏洩が正式に発表された5月15日、Coinbaseの新しいユーザー契約が正式に発効しました。

この契約は、Coinbase の「自己防衛シールド」とみなすことができます。その他の長々とした「目を引く」内容はさておき、2 つの重要な条項 (9.9 および 9.10) があります。それは、あらゆる形態の集団訴訟を禁止すること (集団訴訟の権利放棄) です。すべてのユーザーがニューヨークの裁判所に個別に訴訟を起こすことを強制します。

なぜニューヨークなのか？ニューヨーク州には、企業にとって極めて有利な規則がある。契約書にすべての紛争はニューヨークの裁判所で解決しなければならないと定められており、金額が100万ドルを超える場合、裁判所は「より便利な場所への変更」を理由に訴訟の受理を拒否することはできないのだ。同時に、ニューヨーク南部地方裁判所は金融事件が集中しており、裁判経験も豊富です。 CoinbaseとSECの間の訴訟もここで開始されました。

さらに、公開されたレポートによると、Coinbaseは2021年から「リモートファースト」の企業に転換しているものの、今年サンフランシスコに新オフィスが設立される前は、ニューヨークのワンマディソンがCoinbaseの米国最大のオフィススペースであり、11年間のリース契約が締結され、面積は旧敷地の2倍の広さでした。

この文脈では、たとえあなたが他の何万人ものユーザーと同じように被害者であったとしても、ニューヨークに「一人で」行き、自費で訴訟を起こさなければなりません。

この合意は 4 月 11 日に更新され、データ漏洩の発覚とほぼ同時に 5 月 15 日に発効しました。このような「正確なタイミング」の契約変更は、「空が暗くなり雨が降るまで待って、桑の木を掘り、薪を準備する」と表現できます。雨の日の準備におけるCoinbaseの先見の明は、諸葛孔明のそれに匹敵します。

これは、技術セキュリティ研究者のモリー・ホワイト氏からも疑問の声が上がったが、CoinbaseのCEO、ブライアン・アームストロング氏は、これは「陰謀論」だと反論した。しかし、モリー・ホワイト氏はさらにこう問いかけた。「コインベース社はなぜこのデータ侵害をSECに開示するのに1か月以上もかかったのか？上場企業が重大なサイバーセキュリティインシデントを発見した場合、4営業日以内に開示すべきだ。」ブライアン・アームストロングは彼女への返答をやめた。

同時に、ブルームバーグは関係筋の話として、過去 5 か月にわたってハッカーらが Coinbase のカスタマー サービス担当者に十分な額の賄賂を渡して、ユーザー情報への「オンデマンド アクセス」を実現したと報じた。発表の数日前の水曜日でも、ハッカーたちはまだデータにアクセスしていた。しかし、この主張はコインベースの最高セキュリティ責任者フィリップ・マーティン氏によって反論された。

Coinbaseの現在の声明は、「一部の従業員がデータに不正アクセスしていたことが判明し、関係者を解雇しましたが、当時はデータが漏洩したことを把握していませんでした。5月にハッカーから身代金要求のメールを受け取るまで、問題の深刻さを認識していませんでした。」です。

これはどこまで自己弁明なのでしょうか？プロトコルを変更し、集団訴訟への入り口をブロックしてからの5か月間、Coinbaseがコミュニティやセキュリティ研究者からの注意喚起、質問、警告をどれだけ「無視」してきたかを見てみましょう。

RedditのCoinbaseフォーラムを開設すると、1月以降、多数のユーザーからアカウント盗難や頻繁なソーシャルエンジニアリング詐欺の報告があり、海外のユーザーは次のような被害に遭っています。「6か月前、カスタマーサービスが幽霊ではないかと疑いました。5つの仕事のチケットがすべて急いで閉じられました。誰も私に連絡せず、何が起こったのか誰も説明しませんでした」「私が引き出した金額が、彼らが私に送ったテキストメッセージに近かったので、ほとんど信じてしまいました」「彼らは私のフルネーム、アカウント残高、最後のログインデバイスを確認できます。すべてがあまりにも自然で本物です...」

コミュニティからの数え切れないほどの注意に直面して、Coinbaseは三体世界からの手紙を厳守しました。「答えないでください、答えないでください、答えないでください。」

Coinbase はアジア人のように Reddit にアクセスせず、コミュニティがどのような状況にあるのかを見ることはできないと主張して弁明したいのであれば、Twitter 上の大物 KOL やセキュリティ研究者からの絶え間ないリマインダーは、Coinbase が目にすることができるものであるに違いありません。

Twitterで86万人のフォロワーを抱える、仮想通貨界最強の探偵ZachXBT氏は、2月初旬、昨年末から今年初めにかけてソーシャルエンジニアリング攻撃により6,500万ドル以上が盗まれたと指摘した。 3月下旬、彼は再び発言し、過去2週間でさらに4,600万ドルが盗まれたと主張した。彼は、Coinbase が何の対策も講じていないことを何度も指摘した。

また、MetaMaskのセキュリティ責任者であり、上級オンチェーン調査官でもあるテイラー・モナハン氏は、ほぼ毎週TwitterでCoinbaseを公然と批判し、セキュリティおよびサポートチームに証拠を渡そうとし続けていますが、Coinbaseの「上級調査ディレクター」は2024年末という早い時期に彼女をブロックしました。

テイラー・モナハン氏はまた、Coinbaseが大量の顧客サービス業務をインドのサードパーティサービスプロバイダーであるTaskUsに外注していることを直接明らかにした。 2025年1月11日には、コインベースは「窃盗」と「違法な運営」を理由に、300人以上のインド人カスタマーサービススタッフを大規模に解雇した。その後、オフィスはグルガオンに移転したが、内部データ漏洩は依然として頻発し、3月と4月に新たな一連の「レイオフ」が起きた。

「5月11日まで知らなかった」というCoinbaseの声明に関して、彼女は皮肉を込めてこう言った。「これは非常に『興味深い』ショーになるでしょう。身代金要求のメールが届くまで、彼らがどのように何も知らないふりをするかを見るのです」「最もありそうな言い訳は、『これは大きな漏洩ではないので開示する必要はない』でしょう」

Coinbaseの幹部が問題を否定し、責任を回避し、冷淡に対処した一方で、一部のRedditユーザーと被害者が自発的に「Jinyiwei」を結成し、詐欺師の手がかりを見つけ始めたのは、いくぶん皮肉なことです。

Scammer-fight-back というユーザーと彼のチーム全員が詐欺師たちと対峙しました。彼らは詐欺師に何度も電話をかけ、通話を録音し、情報を保存しました。最終的に彼らは詐欺師を追跡した。彼らのほとんどはイギリスのマンチェスター出身で、同じ小さなオフィスで働いていた。彼らは地元のアクセントを使って Coinbase のカスタマー サービスになりすまし、詐欺のプロセスを完了しながら情報を入手しました。

別のネットユーザーdyfedavalonも同様の見解を示し、「これは英国を拠点とする大規模な詐欺集団で、規模も範囲も大きく、強力な能力を備えている」「詐欺師を見つけるために電話をかけ直してみたら、同じグループだった。彼らはこのビジネスに非常に長けている」「何度も彼らと話したが、彼らは私が被害者だと思っていたようだ。しかし私は英国人なので、彼らの英国訛りを聞き、からかうことができる。その後、彼らは私に二度と電話をかけて嫌がらせをしないよう直接頼んできた」と述べている。

さらに、前述のMetaMaskのセキュリティディレクター、テイラー・モナハン氏の調査情報によると、Coinbaseが委託しているインドのサードパーティサービスプロバイダーであるTaskUsの社内従業員がTelegramでハッカーと連絡を取り、取引ごとに約1万ドルの手数料を請求していたことが明らかになっている。ユーザーのメールアドレス、携帯電話番号、2FA情報を販売していました。お金はPayPalまたは銀行口座を通じて個人名義に直接振り込まれました。

画像提供: Taylor Monahan

では、なぜ誰かがそのような大きなリスクを冒して情報を漏らすのでしょうか?テイラー氏は、これらの「インド人奴隷」から漏れたさらなる情報を共有し、タスクアスの実際の労働条件を直接指摘した。彼らはトイレを使うことを許されず、食事の時間を争わなければならず、十分な成果を上げなければ経営陣から集団的に冷遇される。プレッシャーは途方もなく高く、病気休暇は「欠勤」として記録され、賃金が直接差し引かれます。彼らは訓練のペースについていけなかったため、その場で解雇された。

「これは私のキャリアの中で最悪の決断です。人事部は全く味方になってくれません。泣き言を言っても誰も気に留めてくれません。結局、『研修費用』を請求され、経験証明書すら取得できませんでした」と、ある従業員は書いています。

Coinbase のアウトソーシング会社 TaskUs の元従業員からの苦情、画像提供: Taylor Monahan

Glassdoor や Indeed などの複数のプラットフォームのデータによると、Coinbase のローカル カスタマー サービスの年収は 60,000 ～ 70,000 ドルであるのに対し、インドにアウトソーシングされたカスタマー サービスの年収はわずか 3,600 ～ 4,800 ドルです。つまり、アメリカ人のカスタマー サービス担当者 1 人の給与で、少なくとも 15 人のインド人のアウトソーシング カスタマー サービス担当者を雇用できることになります。

300 件のアウトソーシング作業に基づき、Coinbase はここで年間 1,800 万ドルを節約できます。これには、オフィススペース、社会保障、残業代、技術サポートなどの隠れたコスト削減は含まれません。

ブルームバーグの記者による調査によると、Coinbase は CEO のブライアン・アームストロング氏の個人警備に 1 年間 620 万ドルを支払ったことも特筆に値します。コインベースの最高法務責任者、ポール・グレワル氏は、4億ドルのハッキングとSECのユーザーデータ調査への同社の対応を監督し、昨年は総額820万ドル以上の報酬を受け取った。

CEO の年間セキュリティ コストと最高法務責任者の給与だけで、Coinbase プラットフォームの全ユーザーのセキュリティ コストを上回る可能性があります。

今回の事件の影響を受けたユーザーの中には、著名人も多数含まれています。ブルームバーグの報道によると、事情に詳しい関係者が、セコイア・キャピタルのマネージング・パートナーであるロルフ・ボタ氏が被害者の一人であり、盗まれたデータには電話番号、住所、およびCoinbaseプロフィールに関連するその他の機密アカウント情報が含まれていたと明らかにした。

そして、20年近く芸術の世界で活躍し、ジェフ・クーンズの彫刻「バルーン・ドッグ」などの芸術作品の制作に参加した有名な芸術家、エド・スーマン（67）は、今年初めに偽のコインベースの顧客サービス詐欺の被害に遭い、200万ドル以上の暗号通貨を失いました。

Coinbase はまた、同社が個人データを不適切に取り扱っているとしてユーザーから複数の訴訟を受けています。さらに、Coinbase の行為は規制当局の注目も集めています。たとえば、オレゴン州司法長官事務所は、州の証券法違反を主張し、ユーザー契約内の仲裁および集団訴訟放棄条項の合法性に異議を唱えて、Coinbaseに対して訴訟を起こしました。

Elliptic のデータによると、このインシデントの賠償および処理コストは 4 億ドルに達し、暗号化の歴史上 8 番目に大きなセキュリティ インシデントとなりました。この攻撃には、「ホットウォレットハッキング」のようなドラマチックな場面や、「契約の脆弱性」のような技術的な複雑さは含まれていませんでした。代わりに、それは最も基本的で、日常的でありながら無視されているリンクである KYC データで発生しました。

しかし、現実には、Coinbase が重大な実質的処罰を受ける可能性は低いでしょう。

米国の法律では、偶発的なデータ漏洩に対して厳しい罰則を科す前例はないようである。データ不正使用に関連する最も有名な訴訟はFacebookの訴訟です。Facebookは「ユーザーの同意なしにユーザーデータを第三者と共有しない」という誓約に違反したためですが、これはCoinbaseが直面している状況とは少し異なります。

Coinbase の事件は、データアクセス権の濫用と不適切なアウトソーシング管理が原因で、「内部者から外部のハッカーにデータが漏洩した」という状況に近かった。これは組織的なプライバシー詐欺とはみなされず、損失は限定的でした。コインベースも賠償金を支払うと表明した。

さらに重要なのは、Coinbase は時価総額が 600 億ドルを超える企業であるということです。また、S&P 500 指数に参入した暗号通貨業界で唯一の取引プラットフォームでもあります。豊富な政策関係と豊富な資本資源を有しています。

今回の米国選挙では、Coinbase とその幹部は共和党候補者に数千万ドルを寄付し、複数の法案に対するロビー活動で重要な役割を果たしていると考えられています。 SECがCoinbaseに対する訴訟を取り下げたのは、かつてCoinbaseの政治献金に関連していると考えられていた。

すべてのことから、Coinbase はこの嵐を乗り切ることができると思われます。今後も Coinbase は好調を維持し、さらに成長する可能性があります。

BlockBeats の公式コミュニティに参加しよう：

Telegram 公式チャンネル：https://t.me/theblockbeats

Telegram 交流グループ：https://t.me/BlockBeats_App

Twitter 公式アカウント：https://twitter.com/BlockBeatsAsia