קוינבייס מכחישה פריצה, אך פרטי קשר של לקוחות נחשפו אצל ספק חיצוני

בורסת הקריפטו קוינבייס מסרה כי תקלה אצל Amplitude, חברה שמספקת לה שירותי ניתוח נתונים, חשפה פרטי קשר של חלק מלקוחותיה. לפי הודעת הבורסה, המערכות שלה עצמן לא נפרצו, ולא זוהתה בהן גישה לא מורשית. כספי הלקוחות, כך נמסר, לא נפגעו.

הדיווחים אינם מנסחים זאת באותה מידה של זהירות. CoinDesk ו-Crypto Briefing מציגים את האירוע כתקלה אצל הספק ואת דברי קוינבייס כהכחשה של פריצה אליה. Decrypt כותב בכותרתו על פריצה אצל ספק הניתוחים, ומציין שהמידע נפגע אצל "קבוצה קטנה" של לקוחות. שני הניסוחים יכולים להיות נכונים יחד: ייתכן שהספק נפרץ, ושהבורסה עצמה לא נפרצה.

שרשרת שחוליה בה נמצאת בידי אחרים

חברות ניתוח נתונים עוזרות לשירותים דיגיטליים להבין איך משתמשים מתנהלים באתר: לאן הם נכנסים, איפה הם נתקעים, מה מושך אותם. כדי לעשות זאת, חלק מהמידע על המשתמשים עובר לידי הספק. התוצאה היא שאבטחת פרטיו של לקוח תלויה גם בחברות שמעולם לא שמע עליהן. Crypto Briefing מדגיש את הנקודה הזאת ורואה בה את לקח האירוע: ההגנה על משתמשים נמדדת בחוליה החלשה ביותר, ולא רק במערכות של הבורסה.

נתונים שחסרים, ומספר שאיש לא אישר

קוינבייס לא פירטה, לפי Decrypt, כמה לקוחות נפגעו. המקורות אינם מפרטים גם אילו פרטים בדיוק נחשפו מעבר לכינוי הכללי "פרטי קשר", וגם לא איך נוצרה החשיפה אצל הספק.

Bitcoin.com News מדווח על טענות ש"מסתובבות" ולפיהן הנפגעים עולים על 70,000, אך מדגיש שהן לא אומתו. אין במקורות האחרים אישור למספר הזה, ולכן הוא נשאר בגדר טענה בלבד. BeInCrypto מוסיף שהגילוי הגיע יום לפני פרסום דוחות הרבעון השלישי של קוינבייס, ושבורסת Bithumb הדרום-קוריאנית אישרה בנפרד פריצה למערכת פנימית שבה משתמשים עובדיה. אף מקור לא קושר בין הדברים, ואין להסיק מהקרבה בזמן דבר.

כתובת שנחשפה היא פתח להתחזות

פרטי קשר אינם סיסמה, ואין בהם כדי להיכנס לחשבון. הסכנה היא אחרת: מי שמחזיק ברשימה של אנשים שהם לקוחות קוינבייס, יחד עם דרך ליצור איתם קשר, יכול לשלוח הודעה שנראית אמינה במיוחד. "זיהינו פעילות חשודה בחשבונך, היכנס מיד לאימות" היא פנייה שלקוח אמיתי עשוי לקחת ברצינות, ובדרך כלל היא מובילה לאתר מזויף שמבקש סיסמה או ביטוי שחזור של ארנק.

מכאן נגזרות כמה פעולות מעשיות:

• הודעה בדוא"ל או במסרון על "בעיה בחשבון" אינה סיבה ללחוץ על הקישור שבה. פתחו את הדפדפן, הקלידו בעצמכם את כתובת האתר הרשמית והתחברו משם. זה עובד בכל דפדפן, ואין צורך באפליקציה.
• שירות לגיטימי אינו מבקש ביטוי שחזור או מפתחות פרטיים, בשום תירוץ. פנייה כזאת היא הונאה, גם אם הגיעה בשם הנכון.
• שיחת טלפון מ"צוות האבטחה" מסתיימת בניתוק. אם יש חשש, פונים לשירות הלקוחות דרך הדרך הרשמית שמופיעה באתר, לא דרך המספר שהתקשר.

חשוב להבהיר שלפי המקורות לא נגרם נזק לכספים, ולא דווח על ניסיונות התחזות בפועל בעקבות האירוע. השיקול הוא מניעתי: מי שחשוף עלול להיות יעד, ומי שמכיר את המנגנון קשה יותר להטעיה.

המידע בכתבה נועד להרחבת הדעת בלבד ואינו מהווה ייעוץ השקעות או תחליף לייעוץ מקצועי.

מקורות: CoinDesk · Crypto Briefing · Decrypt · BeInCrypto · Bitcoin.com News