Amplitudeの情報漏えいでCoinbase顧客7万人超の連絡先データが流出

SlowMistが7万人超の連絡先流出を指摘

米上場の仮想通貨取引所として最大規模を誇るCoinbaseは、2026年10月28日(水)、委託先サービス提供企業で発生したセキュリティ事故を理由に、顧客情報の流出を公表した。対象となったのは、ユーザーがデジタル製品上でどう行動するかを企業が分析するためのデータ解析プラットフォーム「Amplitude」だ。同取引所はこのソフトウェアを利用しており、委託先側の漏えいにより、一部のCoinbase顧客に関する連絡先情報が外部に流出した。

被害規模について最初に数字を出したのは、ブロックチェーンセキュリティ企業のSlowMistである。同社の情報セキュリティ責任者は「23pds」というハンドル名で発信し、7万人を超えるCoinbaseユーザーに紐づく連絡先情報が悪意ある第三者の手に渡ったとの見解を示した。ただし、取引所自身はこの数字を裏付けていない。公式の説明では対象を「限られた一部の顧客」とするにとどまり、正確な人数は現時点で確定していない。

Amplitudeは幅広い企業をクライアントに持っており、Coinbaseは今回の事故が同社の他の顧客にも影響したと述べている。つまり、問題は取引所自身のインフラの内部で始まったものではない。公表後の調査では、Coinbaseのシステムへの不正アクセスの痕跡は確認されず、顧客資産にも影響はなかったと同社は説明している。

未公表なのは事故の技術的詳細だ。委託先の環境から外に出たデータの種類を網羅した一覧も示されていない。初期の議論ではパスワードが漏えたかどうかも争点になったが、これまでの開示内容には、アカウントへの直接的なアクセスが奪われたことを示す情報は一切含まれていない。確定している範囲はより狭く、実在の顧客を氏名、メールアドレス、電話番号で特定し呼び出すことができる種類の連絡先情報に限られる。

CoinbaseはAmplitude側の事故と説明

取引所はXのカスタマーサポート公式アカウントから投稿した声明で自らの立場を明示した。それによれば、事故の発端はAmplitude側のセキュリティ侵害であり、同社はCoinbaseを含む複数の企業にデータ解析サービスを提供する委託先である。Coinbaseの内部システムへの直接侵入や、そこからのデータ漏えいは発生していないという。

@CoinbaseSupport · Xの投稿

Xのカスタマーサポート公式アカウントから投稿した声明.

Xで見る

同じ通知によれば、漏えいした情報は、Amplitudeが一部のCoinbase顧客について保管していた連絡先データに限られる。内部の取引システムと顧客資産管理システムには不正アクセスの痕跡がなく、顧客資産は全面的に保護されていると同社は強調した。Coinbaseは法的義務に沿って、影響を受けた顧客および所轄の政府・規制当局に直ちに通知し、事後対応の案内を進めている。

当面の現実的なリスクは、アカウント乗っ取りではなくソーシャルエンジニアリングだ。連絡先情報が攻撃者の手にあると、フィッシングの再現性が格段に上がる。本物のCoinbaseからの通知に擬態したメッセージや、偽のセキュリティ警告、口座確認依頼を装い、悪意あるリンクへ誘導する手口が考えられる。宛名に実名が入り、実際に使っているサービスに言及するほど、標的が引っかかる確率は上がる。

防御策は常道だが、改めて確認する価値がある。ユーザーは公式アプリか自分で直接入力したアドレスからのみサインインし、二要素認証を有効に保ち、予期しないリンクを開かないこと。パスワード再設定の依頼は、対応の前に必ず公式サポート経由で真偽を確かめたい。

取引所ではなく委託先の問題

構図として浮かび上がるのは、取引所自身の侵害ではなく、外部委託への依存が招く問題である。Coinbaseのシステムに侵入の痕跡はないにもかかわらず、収集した顧客データが同社の管理の外へ出た。第三者の解析ツールがコピーを保持していたためで、資金には一切手がついておらず、損失は金銭ではなく情報側にある。一方で、未検証の7万人という数字と未開示の技術的範囲が残る限り、仮想通貨業界ではFUDが広がる余地が残る。Coinbaseが流出データの全容を明示するまでは、第三者インシデントへの見えない懸念は消えない。対象を明確にする過程で同取引所に資産を置き続けることに不安を覚えるユーザーは、手数料や処理時間を含めたCoinbaseでの出金手順を確認したうえで、どの程度の預け入れ残高とするかを見極めるとよい。