Coinbaseが緊急にデマを否定！同日に4件の漏洩、AIが暗号セキュリティを破壊しつつある？

原文作者：Nicky、Foresight News

10月28日、DelCrxptoおよびSlowMistの最高情報セキュリティ責任者23pdsによると、Coinbaseでデータ漏洩が発生し、ハッカーが7万人以上のユーザーの連絡先情報を取得したが、パスワードや資金が盗まれたかどうかはまだ確認されていない。

同日、Coinbaseは「データ漏洩は発生していない」と回應した。同社の説明によると、分析サービスプロバイダーのAmplitudeでセキュリティインシデントが発生し、一部のCoinbase顧客の連絡先データおよび他のAmplitude顧客のデータに影響が出た。チームはCoinbaseシステムへの不正アクセスの証拠を発見しておらず、顧客資金にも影響はないとしており、法的義務に基づき影響を受けた顧客と規制当局に通知する方針だ。

本稿執筆時点まで、Amplitudeはこの件について回應していない。

Amplitudeとは何か？

Amplitudeは、デジタル製品分析プラットフォームを提供する米国上場企業で、本社はサンフランシスコ、ティッカーシンボルはNasdaq: AMPL。企業がWebおよびアプリにおけるユーザー行動を分析するのを支援する事業を展開しており、機能にはリアルタイムインサイト、セッションリプレイ、A/Bテスト、データアクティベーションが含まれ、SaaSサブスクリプションモデルを採用している。

同社の起源は2011年にSpenser SkatesとCurtis Liuが創業したSonalightに遡り、当初は音声テキスト変換アプリを手掛け、2012年冬にY Combinatorに参加した。効果的なユーザー行動分析ツールがなかったため、両名は独自に内部分析システムを構築し、その後2014年に正式にプロダクト分析へ転換しAmplitudeブランドでリリースした。

3人目の共同創業者Jeffrey Wangは同年に参加し、以前のPalantirおよびSumo Logicでの職務経験が大規模データ処理能力の構築に貢献した。Skatesは現在CEOを務めており、MITで生物工学の学士号を取得、MIT Battlecodeプログラミングコンテストで2度優勝した経歴を持つ。

Amplitudeは2021年9月にナスダックに直接上場し、2025会計年度の収益は約3億4300万ドル、従業員は約750〜800人で、顧客はスタートアップからフォーチュン100企業まで幅広くカバーしている。注目すべきは、AMPLの株価が6月下旬の6.6ドルから上昇を始め、10月23日に年間最高値となる17.72ドルを記録したことだ。

今回の件について、10月28日時点で公開情報にAmplitude公式の声明やステータスページの告知は見られない。また同社はこれまでプラットフォーム自体の大規模データ漏洩の公開記録はない。2026年9月のSpotAngels事件では、第三者が盗まれた認証情報を用いてAmplitude上に保存された一部データにアクセスしたが、SpotAngelsはAmplitudeプラットフォームが侵害されたものではないと明確に釈明している。

Amplitudeは金融・暗号資産分野で明確な顧客事例を持つ。Ramp Networkは暗号資産のオンチェーン・オフチェーン入出金プラットフォームで、Amplitudeの分析、実験、セッションリプレイ機能を深く活用しており、主にプロダクト分析とユーザージャーニーのインサイトに用いており、中核の資金システムではない。Xapo Bankはビットコイン銀行・カストディ機関で、Amplitude AnalyticsとFeature Experimentationを口座開設フローの最適化に使用しており、こちらも中核のカストディおよび秘密鍵システムには関与していない。

その他の金融顧客には米国フィンテック企業のDave、Salt Bank、および一部の外国為替・デリバティブブローカーが含まれる。こうした顧客にとって、リスクは主に行動分析データと一部の連絡先情報に限定され、取引、残高、秘密鍵には及ばない。漏洩後の主な脅威はフィッシング、ソーシャルエンジニアリング、SIMスワップであり、直接的な暗号資産の盗難ではない。

Coinbaseは今回の事件が他のAmplitude顧客のデータにも影響したと述べているが、現時点で他の具体的な企業名は公開されていない。Ramp NetworkやXapoなども関連声明を発表していない。影響を受けた当事者は非公開でユーザーに通知することを選ぶか、依然として影響範囲を評価中である可能性がある。

Coinbaseでは以前、より深刻なセキュリティインシデントが発生していた

これはCoinbaseがデータとアカウントのセキュリティ問題に直面する初めてのケースではない。

最も深刻なものは2025年に発生した。公式開示によると、犯罪者が海外のカスタマーサービス代理店に賄賂を送り、顧客サポートシステムからデータを複製したもので、約69461名のユーザーに関係した。漏洩内容には氏名、住所、電話番号、メールアドレス、社会保障番号の下4桁、マスクされた銀行情報、政府発行IDの画像、口座残高のスナップショット、取引履歴が含まれたが、パスワードと秘密鍵は含まれなかった。攻撃者は主にこれらの情報を利用してCoinbase従業員を装い、ユーザーを騙して自ら暗号資産を送金させた。

Coinbaseは2000万ドルの身代金支払いを拒否し、代わりに同額の懸賞金を犯人逮捕・有罪確定のために設置した。同時に関連職員を解雇し、外部委託カスタマーサービス業者との提携を切断し、この事件で騙されて送金したリテールユーザーに自主的に賠償した。同社の2025年第2四半期決算では、顧客への賠償と直接的な法的コストを含む関連費用約3億700万ドルが確認された。

さらに早いものは2021年3月から5月に発生した。攻撃者はフィッシングでメールアドレス、パスワード、電話番号を取得し、CoinbaseのSMSアカウント復旧フローの脆弱性を利用して二要素認証を回避し、少なくとも6000のアカウントから資金が送金された。Coinbaseはその後脆弱性を修正し、事件発生時の価値で盗まれた資金を全額賠償した。

2つの事件の共通点は、直接的な損失は最終的にすべてプラットフォームが賠償を負担したが、一度データが流出すると、その後のフィッシングやソーシャルエンジニアリングに利用されるリスクが長期的に存在することだ。

10月28日、Binance創業者の趙長鵬（CZ）はXプラットフォームへの投稿で、同日に合計4件のデータ漏洩事件が報じられたと述べた。Coinbaseの第三者サービスプロバイダーAmplitudeのほか、韓国の暗号資産取引所Bithumb、および韓国の伝統的金融機関である未来アセットと大信証券も関与している。

CZは、取引プラットフォームから漏洩した氏名、メールアドレス、電話番号、住所、身分証明書類、取引記録などの情報が、フィッシング、SIMカードハイジャック、ソーシャルエンジニアリング攻撃に利用される可能性があると指摘した。彼の提言はアカウントの分離と認証方法に集中している。取引プラットフォームごとに独立したメールアドレスと高強度のパスワードを設定し、ハードウェアセキュリティキー、パスキー、または認証アプリを優先的に使用し、SMS二要素認証への依存を避け、出金アドレスホワイトリストとアンチフィッシングコードを有効にすること。さらに、アカウントのログインセッションとAPIキーの権限を定期的に確認し、カスタマーサービスを装った詐欺に警戒すべきだとした。

また、漏洩した住所と資産保有情報が現実世界での恐喝や強盗のリスクを引き起こす可能性があると警告し、ユーザーは個人の資産状況を公開しないようにすべきだと述べた。

さらに複数の機関の観察によると、AIの急速な発展は近年のセキュリティインシデントの多発と密接に関連しており、その主な役割は全く新しい攻撃タイプを生み出すことではなく、攻撃のハードルを大幅に下げ、既存の手法の規模拡大を加速させることにある。

ハーバード・ケネディスクールとBruce Schneierが協力した研究によると、大規模言語モデルによって完全に自動化された個別化スピアフィッシングのクリック率は約54%で、人間の専門家と同等であり、通常のフィッシングの約12%をはるかに上回り、大規模キャンペーンの利益を最大約50倍に高めることができる。Microsoftの報告書も同様のクリック率データを示している。ディープフェイクの音声や動画はこうしたリスクをさらに増幅させる。

脆弱性悪用のペースも加速している。Microsoftの報告書によると、脆弱性が公開されてから武器化されるまでの中央値はしばしば24時間を下回る。CrowdStrikeの2026年グローバル脅威レポートによると、2025年のAIを活用した敵対者の活動は89%増加し、サイバー犯罪の「ブレイクアウトタイム」（初期アクセスから横展開までの時間）は平均29分に短縮された。IBMの「データ漏洩コストレポート2026」は、悪意ある漏洩の約4分の1がAI関連であり、平均コストがより高いと指摘している。

Bruce SchneierはAIの二重用途を強調する。AIはフィッシングを効率的に自動化できる一方で、フィッシングの意図を高い精度で識別することもできる。短期的には防御側がいくつかの面でより多くの利益を得る可能性があると考えるが、これは持続的な軍拡競争である。CrowdStrike、Microsoft、IBMなどの機関の判断は一致している。AIはソーシャルエンジニアリング、認証情報窃取、脆弱性悪用などの既存の戦術を最適化しているのであり、全く新しい戦線を開いているわけではないが、攻撃の速度と規模の向上により防御の窓が著しく狭まっている。

暗号資産業界にとって、このトレンドはCoinbase関連の事件と高度に一致する。2021年のSMS脆弱性はフィッシングによる認証情報取得に依存し、2025年の内部賄賂の核心はソーシャルエンジニアリングによる送金詐欺であり、今回のAmplitude事件で露出したメールアドレスと電話番号は、まさにフィッシングとソーシャルエンジニアリングの原材料である。AIはこれらの攻撃をより個別化し、多言語化し、識別困難にすると同時に、コストを下げ、標的範囲を拡大する。サプライチェーンと第三者リスクも、AIによって加速された偵察と悪用によりさらに増幅されている。