Coinbase用户一周内因钓鱼诈骗损失超4500万美元
由于利用验证和合规漏洞的钓鱼诈骗,Coinbase用户在一周内损失了超过4500万美元。ZachXBT的调查显示,这些攻击与全球诈骗团伙有关,他们使用克隆网站、伪造电话和钓鱼脚本来欺骗用户。尽管Coinbase在技术上取得了进步,但其因延迟响应和未能标记已知盗窃地址而面临越来越多的批评。
高级社交工程攻击
据ZachXBT称,上周通过高级社交工程攻击从Coinbase用户那里窃取了超过4500万美元。这位区块链调查员通过他的Telegram频道公布了这些发现。他与研究员Tanuki42合作,追踪了多个区块链上的资金流向。报告显示,诈骗者利用了Coinbase平台上的用户验证漏洞。
攻击者使用伪造的电话号码和个人数据来显得可信,并冒充Coinbase代表联系用户,声称有可疑活动。随后,受害者收到了模仿官方Coinbase通信的电子邮件。这些电子邮件包括虚假的案例ID和逐步的资产转移指令。
受害者被告知将资金转移到Coinbase钱包中,并将攻击者控制的地址列入白名单。这一操作在不知不觉中让诈骗者获得了用户资产的访问权限。因此,攻击者从钱包中提取了数百万美元,而平台并未立即触发警报。
复杂的钓鱼网络
除了冒充尝试外,攻击者还使用了克隆的Coinbase网站和钓鱼面板。这些工具精确地复制了原始平台的界面。诈骗者甚至构建了恶意脚本来绕过浏览器安全和VPN用户。因此,合规团队面临检测挑战。
此外,ZachXBT强调了一个标记为“coinbase-hold.eth”的钱包的反复滥用。在一个案例中,一名受害者损失了85万美元。同一个钱包至少还收到了其他25名受害者的资金。这些盗窃行为与两个主要团体有关:一个名为“The Com”的集体和另一个位于印度的团体。两者都专注于美国用户。
安全疏忽和历史问题
此外,Coinbase的回应引发了重大担忧。ZachXBT指出,该交易所数周未能标记已知的盗窃地址。受害者还报告了支持缓慢和账户突然受限的问题。因此,批评者认为Coinbase缺乏足够的内部保障措施。
之前的漏洞也重新浮出水面。这些包括税务软件中的API漏洞和2023年Coinbase Commerce的1590万美元盗窃案。值得注意的是,Coinbase从未公开披露这些问题。
呼吁变革和用户保护
为了应对这些威胁,ZachXBT提出了几项建议。他敦促Coinbase取消对使用身份验证应用程序用户的电话号码要求。他还建议引入带有提款限制的“老年”账户,并加强全球支持。
此外,他强调了社区教育和更快事件响应的必要性。尽管Coinbase在更广泛的领域取得了成就,但ZachXBT认为用户安全已被忽视。因此,该平台仍然是协调加密盗窃的主要目标。