なぜまた第三者なのか？Coinbaseのサプライチェーンリスクと防御のジレンマを振り返る

執筆：Nicky、Foresight News

10月28日、DelCrxptoおよびSlowMistの最高情報セキュリティ責任者23pdsによると、Coinbaseでデータ漏洩が発生し、ハッカーが7万人以上のユーザーの連絡先情報を取得したが、パスワードや資金が盗まれたかどうかは確認されていない。

同日、Coinbaseは「データ漏洩は発生していない」との声明を発表した。彼らの説明によれば、分析サービスプロバイダーのAmplitudeがセキュリティ事件に遭遇し、一部のCoinbase顧客の連絡データおよび他のAmplitude顧客のデータに影響を与えたという。チームはCoinbaseシステムへの不正アクセスの証拠を発見しておらず、顧客の資金にも影響はなかった。会社は法的義務に基づき、影響を受けた顧客および規制当局に通知する予定である。

記事執筆時点で、Amplitudeはこの事件に関するコメントを出していない。

Amplitudeとは？

Amplitudeは、デジタル製品分析プラットフォームを提供するアメリカの上場企業で、サンフランシスコに本社を置き、株式コードはNasdaq: AMPLである。彼らのビジネスは、企業がWebおよびアプリ内でのユーザー行動を分析するのを助けることであり、リアルタイムの洞察、セッション再生、A/Bテスト、データ活性化などの機能を提供し、SaaSサブスクリプションモデルを採用している。

同社は2011年にSpenser SkatesとCurtis Liuによって設立されたSonalightに起源を持ち、最初は音声からSMSへのアプリを開発していた。2012年冬にY Combinatorに参加したが、効果的なユーザー行動分析ツールが不足していたため、彼らは内部分析システムを独自に構築した。その後、2014年に正式に製品分析に転向し、Amplitudeブランドで展開した。

第三の共同創設者であるJeffrey Wangは同年に参加し、PalantirおよびSumo Logicでの経験が同社の大規模データ処理能力の構築に寄与した。Skatesは現在CEOを務めており、MITで生物工学の学士号を取得しており、MIT Battlecodeプログラミングコンペティションで2回優勝したことがある。

Amplitudeは2021年9月にNASDAQに直接上場し、2025年度の収入は約3.43億ドル、従業員数は約750〜800人で、顧客はスタートアップからフォーチュン100企業まで多岐にわたる。注目すべきは、AMPLの株価が6月下旬の6.6ドルから上昇し、10月23日に17.72ドルの年間最高値を記録したことである。

この事件に関して、10月28日現在、公開情報の中でAmplitudeの公式声明やステータスページの発表は見られない。これまで同社はプラットフォーム自体の大規模データ漏洩の公開記録も持っていない。2026年9月のSpotAngels事件では、第三者が盗まれた証明書を使用してAmplitudeに保存された一部のデータにアクセスしたが、SpotAngelsはAmplitudeプラットフォームが攻撃されたわけではないと明確に説明している。

Amplitudeは金融および暗号分野において明確な顧客事例を持っている。Ramp Networkは暗号通貨の入出金プラットフォームで、Amplitudeの分析、実験、セッション再生機能を深く活用しており、主に製品分析とユーザーの旅の洞察に使用されているが、コア資金システムには関与していない。Xapo Bankはビットコイン銀行および保管機関で、Amplitude AnalyticsおよびFeature Experimentationを使用して口座開設プロセスを最適化しており、同様にコアの保管および秘密鍵システムには関与していない。

他の金融顧客には、アメリカのフィンテック企業Dave、Salt Bank、および一部の外国為替およびデリバティブブローカーが含まれる。このような顧客にとって、リスクは主に行動分析データおよび一部の連絡情報に限られ、取引、残高、または秘密鍵には関与しない。漏洩後の主な脅威はフィッシング、ソーシャルエンジニアリング、SIM交換であり、直接的な暗号通貨の盗難ではない。

Coinbaseはこの事件が他のAmplitude顧客のデータに影響を与えたと述べているが、現在のところ他の具体的な企業名は公表されていない。Ramp Network、Xapoなども関連する声明を発表していない。影響を受けた側は、ユーザーに私的に通知することを選択するか、影響範囲を評価している可能性がある。

Coinbaseは以前により深刻なセキュリティ事件を経験している

これはCoinbaseがデータおよびアカウントのセキュリティ問題に直面するのは初めてではない。

最も深刻な事件は2025年に発生した。公式によると、犯罪者が海外のカスタマーサポート代理店に賄賂を渡し、顧客サポートシステムからデータをコピーし、約69461名のユーザーに関与していた。漏洩した内容には、名前、住所、電話番号、メールアドレス、社会保障番号の後4桁、マスクされた銀行情報、政府発行の身分証明書の画像、口座残高のスナップショットおよび取引履歴が含まれているが、パスワードや秘密鍵は含まれていなかった。攻撃者は主にこれらの情報を利用してCoinbaseの従業員を装い、ユーザーに暗号通貨を自ら転送させるように誘導した。

Coinbaseは2000万ドルの身代金の支払いを拒否し、同額の報奨金を設けて逮捕と有罪判決を目指し、関連するスタッフを解雇し、外部カスタマーサポート業者との契約を切り、事件によって誘導されて暗号通貨を転送した小売ユーザーに自発的に補償を行った。会社の2025年第2四半期の財務報告では、関連費用が約3.07億ドルであることが確認されており、顧客への補償や直接的な法的コストが含まれている。

さらに早い事件は2021年3月から5月にかけて発生した。攻撃者はフィッシングを通じてメールアドレス、パスワード、電話番号を取得し、CoinbaseのSMSアカウント復元プロセスの脆弱性を利用して二段階認証を回避し、少なくとも6000のアカウントの資金が転送された。Coinbaseはその後、脆弱性を修正し、事件発生時の価値に基づいて盗まれた資金を全額補償した。

二つの事件の共通点は、直接的な損失が最終的にプラットフォームによって補償されることであるが、一度データが流出すると、その後フィッシングやソーシャルエンジニアリングに利用されるリスクは長期的に存在する。

10月28日、Binanceの創設者である赵长鹏（CZ）はXプラットフォームで投稿し、当日4件のデータ漏洩事件が報告されたと述べ、Coinbaseの第三者サービスプロバイダーであるAmplitudeの他に、韓国の暗号取引所Bithumb、韓国の伝統的金融機関である未来資産および大信証券が含まれている。

CZは、取引プラットフォームで漏洩した名前、電子メール、電話番号、住所、身分証明書および取引記録などの情報が、フィッシング、SIMカードのハイジャック、ソーシャルエンジニアリング攻撃に利用される可能性があると指摘した。彼の提案は、アカウントの隔離と検証方法に集中している：異なる取引プラットフォームに対して独立したメールアドレスと強力なパスワードを設定し、ハードウェアセキュリティキー、Passkey、または認証アプリを優先的に使用し、SMSの二段階認証に依存せず、出金アドレスのホワイトリストとフィッシング防止コードを有効にすること。また、定期的にアカウントのログインセッションおよびAPIキーの権限を確認し、カスタマーサポートを装った詐欺行為に警戒することを推奨している。

彼はまた、漏洩した住所および資産保有情報が現実の恐喝や強盗のリスクを引き起こす可能性があるため、ユーザーは個人の資産状況を公開しないようにすべきだと警告している。

さらに、複数の機関の観察によると、AIの急速な発展と近年のセキュリティ事件の多発は密接に関連しており、その主な役割は新しい攻撃タイプを創造するのではなく、攻撃の敷居を大幅に下げ、既存の手法の規模を拡大することである。

ハーバード・ケネディスクールとBruce Schneierとの共同研究によると、完全に大規模モデルによって自動化された個別のフィッシング攻撃のクリック率は約54%であり、人間の専門家と同等であり、通常のフィッシングの約12%を大きく上回っている。また、大規模な活動の利益を最大約50倍に引き上げることができる。マイクロソフトの報告も同様のクリック率データを示している。深層偽造された音声や映像は、このリスクをさらに拡大している。

脆弱性の悪用のペースも加速している。マイクロソフトの報告によると、脆弱性が公開されてから武器化されるまでの中央値は常に24時間未満である。CrowdStrikeの2026年グローバル脅威報告によると、2025年にはAIによって強化された敵の活動が89%増加し、電子犯罪の「突破時間」は初期アクセスから横移動まで平均29分に短縮されている。IBMの『データ漏洩コスト報告2026』では、約4分の1の悪意のある漏洩がAIに関連しており、平均コストがより高いことが指摘されている。

Bruce SchneierはAIの二重用途を強調している：それは効率的にフィッシングを自動化するだけでなく、高精度でフィッシングの意図を識別するためにも使用できる。彼は短期的には防御者がある面でより多くの利益を得る可能性があるが、これは持続的な軍拡競争であると考えている。CrowdStrike、マイクロソフト、IBMなどの機関の判断は一致しており、AIは社会工学、証明書の窃盗、脆弱性の悪用などの既存の戦術を最適化しているが、新しい戦線を開くのではなく、攻撃の速度と規模の向上が防御のウィンドウを著しく圧縮している。

暗号業界にとって、この傾向はCoinbaseに関連する事件と高度に一致している。2021年のSMSの脆弱性はフィッシングを通じて証明書を取得することに依存しており、2025年の内部贈賄の核心はソーシャルエンジニアリングによる転送の誘導であり、今回のAmplitude事件で漏洩したメールアドレスと電話番号は、フィッシングとソーシャルエンジニアリングの材料となる。AIはこれらの攻撃をより個別化し、多言語化し、識別を難しくし、同時にコストを削減し、ターゲット範囲を拡大している。サプライチェーンと第三者リスクも、AIによって加速された偵察と利用によってさらに拡大されている。

本コンテンツは、一般的な情報提供のみを目的としたものであり、金融、投資、法律、または税務に関する助言を構成するものではありません。ここに記載されているイベント、報酬、オンラインキャンペーン、またはそれらに関連する情報は、暗号資産の購入、売却、取引、その他いかなる取引の推奨、勧誘、または招待とみなされるべきではありません。暗号資産は価格変動が非常に大きく、損失が発生する可能性があります。WEEXのサービス、プロダクト、および関連イベントの提供状況は、地域によって異なる場合があります。お客様は、ご自身の参加が適用される現地の法令を遵守していることを自ら確認する責任を負うものとします。