בורסת הקריפטו Coinbase, הנסחרת בבורסת Nasdaq, הודיעה כי נכסי הלקוחות שלה בטוחים לחלוטין וכי מערכות הליבה של החברה לא חוו שום חדירה בלתי מורשית. ההודעה מגיעה בעקבות אירוע אבטחה שהתרחש אצל ספקית אנליטיקה חיצונית, חברת Amplitude, אשר הוביל לחשיפה של פרטי התקשרות השייכים לקבוצה מצומצמת מבין משתמשי הפלטפורמה. בחברה הבהירו כי המודלים התפעוליים ותשתיות האבטחה הישירות שלה נותרו שלמים ללא כל פגיעה. עם זאת, האירוע מציף מחדש את הסכנות הטמונות בהסתמכות על שרשרת אספקה (Supply Chain) דיגיטלית, שבה גם כאשר ארגון מרכזי שומר על אבטחה הדוקה, חולשות אצל ספקי צד שלישי עלולות לייצר פרצות פוטנציאליות ולחשוף נתונים רגישים.
חשיפת המידע דרך ספק צד שלישי
האירוע הנוכחי לא התרחש בתוך המערכות הפנימיות של Coinbase, אלא במערכות של חברת האנליטיקה Amplitude, המספקת שירותי ניתוח נתונים עבור חברות רבות בתעשייה. כתוצאה מכך, מידע התקשרות שנאגר אצל הספק החיצוני נחשף לגורמים בלתי מורשים. המידע שנחשף שייך לקבוצה קטנה של משתמשים בבורסה, לצד נתונים של לקוחות נוספים העובדים עם חברת האנליטיקה. מבורסת הקריפטו נמסר כי הנתונים שנחשפו כוללים פרטי התקשרות בלבד.
בחברה מדגישים באופן חד-משמעי את העובדות הבאות: נכסי הקריפטו של הלקוחות בטוחים לחלוטין ולא נגרם שום נזק לכספי המשתמשים. מפתחות פרטיים (Private Keys), סיסמאות גישה ונתוני אימות לא נחשפו ולא היו חלק מהדליפה. מערכות הליבה של הבורסה לא זיהו כל גישה בלתי מורשית או ניסיון חדירה ישיר.
בהתאם לכללים ולחובות הדיווח בחוק, החברה החלה בהפצת הודעות בדואר אלקטרוני לכל הלקוחות שפרטיהם הושפעו מהאירוע, על מנת לעדכנם במצב ולספק דגשי זהירות. עם זאת, החברה לא פירטה את המספר המדויק של המשתמשים שהושפעו, וכן לא ציינה אילו שדות נתונים ספציפיים (כגון כתובות דואר אלקטרוני או מספרי טלפון) נחשפו באופן מדויק.
איומי פישינג והנדסה חברתית
על אף שכספי המשתמשים והגישה לארנקים הדיגיטליים נותרו מוגנים, דליפה של פרטי התקשרות מייצרת סיכון חמור אחר: מתקפות הנדסה חברתית (Social Engineering) וניסיונות פישינג (Phishing). כתובות דואר אלקטרוני ומספרי טלפון שנחשפו משמשים לעיתים קרובות תוקפים כחומר גלם ליצירת פניות מתחזות בבקשה לאימות פרטים, שינוי סיסמה או העברת כספים. במקרים מסוג זה, תוקפים עשויים לפנות למשתמשים תוך שימוש בפרטים האמיתיים שנחשפו כדי לשוות לפנייה מראה אמין ורשמי.
המשתמשים נקראים לגלות ערנות יתרה מפני: הודעות דוא"ל או SMS מתחזות המבקשות ללחוץ על קישורים חיצוניים לצורך איפוס סיסמה או אימות חשבון; שיחות טלפון מגורמים המציגים את עצמם כנציגי תמיכה ומבקשים לקבל קודי אימות דו-שלבי (2FA) או מפתחות פרטיים; ופניות דחופות המזהירות מפני "נעילת חשבון" או "פעילות חשודה" ומאיצות בלקוח לפעול באופן מיידי.
רצף אירועי סייבר במגזר הפיננסי
האירוע ב-Coinbase מצטרף לשורה של דיווחים מהימים האחרונים על אירועי אבטחה ודליפות מידע במוסדות פיננסיים ובפלטפורמות מסחר שונות בעולם. בדרום קוריאה, למשל, דיווחה חברת ניירות הערך Daishin Securities על דליפת מידע אישי של 38,490 מלקוחותיה, שכלל שמות, כתובות דוא"ל ומספרי טלפון ניידים, בעקבות זיהוי גישה בלתי מורשית של האקרים. במקביל, פורסם כי מידע אישי של לקוחות בבורסת הקריפטו הדרום-קוריאנית Bithumb דלף בעקבות מתקפת סייבר שבוצעה על ידי גורם חיצוני. בנוסף, הרשויות הפיננסיות בדרום קוריאה החלו בבדיקה רשמית של אירוע דליפת נתונים שהתרחש בחברת ההשקעות Mirae Asset Global Investments.
| גוף פיננסי / פלטפורמה | מקור האירוע | סוג המידע שהושפע | סטטוס הנכסים והמערכות |
|---|---|---|---|
| Coinbase | ספק חיצוני (Amplitude) | פרטי התקשרות של קבוצת לקוחות קטנה | נכסי המשתמשים בטוחים, מערכות הליבה לא נפרצו |
| Daishin Securities | גישה בלתי מורשית ישירה | שמות, דוא"ל ומספרי טלפון של 38,490 לקוחות | נחשף ונבדק |
| Bithumb | מתקפת סייבר של גורם חיצוני | מידע אישי של לקוחות | תחת בדיקה |
| Mirae Asset Global Investments | דליפת נתונים פנימית / חיצונית | מידע אישי/פיננסי | בדיקה רשמית של רשויות הפיקוח |
הצטברות המקרים מעידה על האתגר המתמשך שעמו מתמודדות חברות פיננסיות ופלטפורמות נכסים דיגיטליים, הנדרשות להתמודד לא רק עם אבטחת התשתיות הפנימיות שלהן, אלא גם עם הידוק הפיקוח על גישת נתונים אצל ספקי צד שלישי.
למה זה חשוב לך
ישראלים רבים משתמשים בבורסות קריפטו בינלאומיות כמו Coinbase, ואירוע כזה מזכיר שגם כאשר הכספים עצמם מוגנים, דליפת פרטי התקשרות עלולה לחשוף אתכם לניסיונות פישיינג מתוחכמים המתחזים לשירותי התמיכה של הבורסה. חשוב לבדוק הודעות דוא"ל או הודעות SMS הנחזות להגיע מפלטפורמות המסחר שלכם, ולהימנע מלחיצה על קישורים או מסירת קודי אימות גם אם הפנייה נראית רשמית ומכילה פרטים אמיתיים. האירוע גם מדגיש את החשיבות של בדיקת מדיניות האבטחה של ספקי צד שלישי שעובדים עם פלטפורמות שבהן אתם מחזיקים נכסים דיגיטליים.
התוכן בכתבה זו נועד לספק סקירה כללית בלבד ואינו מהווה תחליף לייעוץ מקצועי פרטני. המערכת אינה אחראית לכל נזק או הפסד שייגרם כתוצאה מהסתמכות על המידע המוצג.
קראו גם: תרמית חדשה ב-Teams: תוקפים מתחזים לתמיכה טכנית ומשתלטים על מחשבים · Percepto משיקה את Axion: פלטפורמת AI לניתוח נתוני רחפנים וחיישנים
