執筆：Nicky、Foresight News
10月28日、DelCrxptoおよびSlowMist（慢霧）の最高情報セキュリティ責任者23pdsによれば、Coinbaseでデータ流出が発生し、ハッカーが7万人以上のユーザーの連絡先情報を取得したが、パスワードや資金が盗まれたかどうかはまだ確認されていない。
同日、Coinbaseは「データ流出は発生していない」と回答した。同社の説明によれば、分析サービスプロバイダーのAmplitudeがセキュリティインシデントに遭い、一部のCoinbase顧客の連絡先データおよび他のAmplitude顧客のデータに影響が及んだ。チームはCoinbaseシステムへの不正アクセスの証拠を発見しておらず、顧客資金にも影響はないとしており、同社は法的義務に基づき、影響を受けた顧客と規制当局に通知する。
記事執筆時点で、Amplitudeはこの件についてまだ回答していない。
Amplitudeとは？
Amplitudeは、デジタル製品分析プラットフォームを提供する米国の上場企業で、本社はサンフランシスコ、ティッカーシンボルはNasdaq: AMPL。企業がWebやアプリ上でのユーザー行動を分析するのを支援する事業を展開しており、機能にはリアルタイムインサイト、セッションリプレイ、A/Bテスト、データアクティベーションが含まれ、SaaSサブスクリプションモデルを採用している。
会社の起源は、2011年にSpenser SkatesとCurtis Liuが創業したSonalightにある。当初は音声をテキストに変換するアプリを作り、2012年の冬にY Combinatorに参加した。効果的なユーザー行動分析ツールがなかったため、2人は自ら内部の分析システムを構築し、その後2014年に正式にプロダクト分析へと軸足を移し、Amplitudeブランドで発表した。
3人目の共同創業者Jeffrey Wangは同年に加わった。PalantirやSumo Logicでの経歴が、大規模なデータ処理能力の構築に役立った。Skatesは現CEOで、MITの生物工学の学士号を持ち、MIT Battlecodeプログラミングコンテストで2度優勝している。
Amplitudeは2021年9月にナスダックに直接上場し、2025会計年度の売上高は約3億4300万ドル、従業員は約750〜800人、顧客はスタートアップからフォーチュン100企業まで幅広くカバーしている。注目すべきは、AMPLの株価が6月下旬の6.6ドルから上昇を始め、10月23日には年間最高値となる17.72ドルを記録したことだ。
今回の件について、10月28日時点で、公開情報にはAmplitudeの公式声明やステータスページの告知は見当たらない。また同社にはこれまで、プラットフォーム自体の大規模なデータ流出の公開記録もない。2026年9月のSpotAngels事件では、第三者が盗まれた認証情報を使ってAmplitude上に保存された一部データにアクセスしたが、SpotAngelsはAmplitudeプラットフォームが侵害されたわけではないと明確に説明している。
Amplitudeには金融・暗号資産分野での明確な導入事例がある。Ramp Networkは暗号資産の入出金プラットフォームで、Amplitudeの分析・実験・セッションリプレイ機能を深く利用しているが、主な用途はプロダクト分析とユーザージャーニーのインサイトであり、中核の資金システムではない。Xapo Bankはビットコイン銀行・カストディ機関で、Amplitude AnalyticsとFeature Experimentationを使って口座開設フローを最適化しており、こちらも中核のカストディや秘密鍵システムには関与していない。
その他の金融顧客には、米国のフィンテック企業Dave、Salt Bank、および一部の外国為替・デリバティブブローカーが含まれる。こうした顧客にとって、リスクは主に行動分析データと一部の連絡先情報に限定され、取引・残高・秘密鍵には及ばない。流出後の主な脅威はフィッシング、ソーシャルエンジニアリング、SIMスワップであり、直接的な暗号資産の窃取ではない。
Coinbaseは、今回の件が他のAmplitude顧客のデータにも影響したと述べているが、現時点で他の具体的な企業名は公表されていない。Ramp NetworkやXapoなども関連声明を出していない。影響を受けた当事者は非公開でのユーザー通知を選んだか、あるいは依然として影響範囲を評価している可能性がある。
Coinbaseでは以前、より深刻なセキュリティインシデントが起きている
Coinbaseがデータとアカウントのセキュリティ問題に直面するのは今回が初めてではない。
最も深刻だったのは2025年に起きた。公式開示によれば、犯罪者が海外のカスタマーサポート代理店に賄賂を渡し、顧客サポートシステムからデータを複製した。影響は約69461人に及ぶ。流出した内容には氏名、住所、電話番号、メールアドレス、社会保障番号の下4桁、マスク処理された銀行情報、政府発行の身分証明書の画像、口座残高のスナップショット、取引履歴が含まれるが、パスワードと秘密鍵は含まれていない。攻撃者は主にこれらの情報を利用してCoinbaseの従業員を装い、ユーザーを騙して自ら暗号資産を送金させた。
Coinbaseは2000万ドルの身代金支払いを拒否し、代わりに同額の懸賞金を設置して容疑者の逮捕・有罪判決につなげ、同時に関係者を解雇し、外部委託のカスタマーサポート会社との契約を打ち切った。さらに、この件で送金を騙されたリテールユーザーに自主的に賠償した。同社の2025年第2四半期決算では、顧客への賠償と直接的な法務費用を含む約3億700万ドルの関連費用を計上したことを確認している。
さらに遡ると、2021年3月から5月にかけても起きている。攻撃者はフィッシングでメールアドレス、パスワード、電話番号を入手し、CoinbaseのSMSによるアカウント復旧プロセスの脆弱性を突いて二段階認証を回避し、少なくとも6000のアカウントから資金が送金された。Coinbaseはその後脆弱性を修正し、事案発生時の価値で盗まれた資金を全額賠償した。
2つの事案に共通するのは、直接的な損失は最終的にプラットフォームが賠償を負担する一方、一度データが流出すれば、その後のフィッシングやソーシャルエンジニアリングへの悪用リスクは長期間残るという点だ。
10月28日、Binance創業者の趙長鵬（CZ）はXプラットフォームへの投稿で、同日に4件のデータ流出事案が報じられたと述べた。Coinbaseの第三者サービスプロバイダーAmplitudeのほか、韓国の暗号資産取引所Bithumb、韓国の伝統的金融機関である未来アセットと大信証券が関わっている。
CZは、取引プラットフォームから流出した氏名、メールアドレス、電話番号、住所、身分証明書、取引記録などの情報が、フィッシング、SIMカードハイジャック、ソーシャルエンジニアリング攻撃に悪用される可能性があると指摘した。彼の提言はアカウントの分離と認証方法に集中している。取引プラットフォームごとに専用のメールアドレスと強力なパスワードを設定し、ハードウェアセキュリティキー、Passkey、認証アプリを優先的に使い、SMSによる二段階認証への依存を避け、出金アドレスのホワイトリストとアンチフィッシングコードを有効にする。さらに、アカウントのログインセッションとAPIキーの権限を定期的に確認し、カスタマーサポートを装う詐欺に警戒すべきだとした。
また、流出した住所や資産保有情報が現実における脅迫や強盗のリスクを引き起こす可能性があると警告し、ユーザーは個人の資産状況を公開しないようにすべきだと述べた。
さらに複数の機関の観察によれば、AIの急速な発展と近年のセキュリティインシデントの多発は密接に関係している。その主な役割は全く新しい攻撃類型を生み出すことではなく、攻撃のハードルを大幅に下げ、既存の手口の大規模化を加速させることにある。
ハーバード・ケネディスクールがBruce Schneierと協力して行った研究によれば、完全に大規模モデルで自動化された個別化スピアフィッシングのクリック率は約54%で、人間の専門家と同程度であり、通常のフィッシングの約12%を大きく上回る。しかも大規模キャンペーンの利益を最大で約50倍に押し上げ得る。Microsoftの報告書も近いクリック率のデータを示している。ディープフェイクの音声や動画はこうしたリスクをさらに増幅させる。
脆弱性悪用のペースも速まっている。Microsoftの報告書によれば、脆弱性が公開されてから武器化されるまでの中央値はしばしば24時間を下回る。CrowdStrikeの「2026年グローバル脅威レポート」によれば、2025年にAIを活用した敵対者の活動は89%増加し、サイバー犯罪の「ブレイクアウトタイム」（初期アクセスから横展開までの時間）は平均29分に短縮した。IBMの「データ侵害コストレポート2026」は、悪意ある侵害の約4分の1がAI関連であり、平均コストがより高いと指摘している。
Bruce SchneierはAIの二面性を強調する。それはフィッシングを効率的に自動化できる一方、高い精度でフィッシングの意図を識別することにも使える。短期的には防御側が一部の面でより多くの恩恵を受ける可能性があると彼は考えるが、これは継続的な軍拡競争だ。CrowdStrike、Microsoft、IBMなどの判断は一致している。AIはソーシャルエンジニアリング、認証情報窃取、脆弱性悪用といった既存の戦術を最適化しているのであって、全く新しい戦線を開いているわけではないが、攻撃の速度と規模の向上は防御の窓を著しく狭めている。
暗号資産業界にとって、この傾向はCoinbase関連の事案と高度に符合する。2021年のSMSの脆弱性はフィッシングによる認証情報の入手に依存し、2025年の内部者への賄賂の核心は送金を騙し取るソーシャルエンジニアリングであり、今回のAmplitude事件で流出したメールアドレスと電話番号は、まさにフィッシングとソーシャルエンジニアリングの原材料である。AIはこれらの攻撃をより個別化され、多言語で、見分けにくいものにすると同時に、コストを下げ、標的の範囲を広げている。サプライチェーンと第三者のリスクも、AIによって加速された偵察と悪用により、さらに増幅されている。
