Coinbase fordert Benutzer auf, „dumme“ Schritte zu befolgen, die Betrüger anwenden, um Geld aus Wallets abzuheben

Coinbase weist einige Commerce-Benutzer vor Ablauf der Migrationsfrist am 31. März auf einen Recovery-Flow mit Seed-Phrase hin. Das Problem ist Teil des Shutdown-Plans von Coinbase für ältere Commerce-Wallets. In seinem Übergangsleitfaden sagt Coinbase, dass Benutzer mit Geldern in einer Commerce-Wallet diese vor dem 31. März 2026 abheben müssen, wenn das Commerce-Portal und das Abhebungstool nicht mehr zugänglich sind. Für Benutzer, die ihre Wallet auf Google Drive gesichert haben, empfiehlt Coinbase, zum Commerce-Dashboard zu gehen, „Einstellungen und Sicherheit“ zu öffnen, die 12-Wörter-Seed-Phrase anzuzeigen und das Auszahlungstool unter „redraw.commerce.coinbase.com“ zu verwenden. Laut Coinbase ist der Prozess besonders wichtig für Händler, die Bitcoin oder andere UTXO-basierte Vermögenswerte erhalten haben, da Guthaben sonst möglicherweise nur schwer in Standard-Wallets angezeigt werden können. Eine Seed-Phrase ist der Hauptwiederherstellungsschlüssel für eine selbstverwaltete Wallet. In der Wallet-Dokumentation von Coinbase wird es als eine aus 12 Wörtern bestehende Wiederherstellungsphrase beschrieben, auf die nur der Benutzer Zugriff hat. Wer diesen Satz kontrolliert, kontrolliert den Zugriff auf das Wallet und seine Gelder. Wenn Sie es verlieren, kann der Zugang zu Geldern verloren gehen. Legen Sie es offen, und das Geld in der Brieftasche kann abgezogen werden. Hier ist der Widerspruch kaum zu übersehen. Der Wallet-Leitfaden von Coinbase fordert Benutzer dazu auf, niemals eine Wiederherstellungsphrase weiterzugeben, sagt, dass das Unternehmen niemals danach fragen wird, und fügt eine separate Warnung hinzu: „Fügen Sie sie niemals in eine Website ein.“ Dennoch fordert der Commerce-Übergangsleitfaden einige Benutzer dazu auf, denselben Satz im Rahmen eines offiziellen, von Coinbase gehosteten Wiederherstellungspfads preiszugeben. Die Erklärung des Unternehmens lautet, dass Commerce-Wallets selbstverwaltet werden und Coinbase keinen Zugriff auf die Phrase oder die Gelder hat, sodass die Benutzer für die Wiederherstellung vor der Abschaltung verantwortlich sind. Sicherheitsforscher sehen eine Phishing-Vorlage Nichtsdestotrotz hat diese Forderung von Coinbase bei vielen Sicherheitsexperten die Alarmglocken geläutet, die die Plattform für das Verhalten kritisieren, das ihre Seite den Nutzern beibringt, zu akzeptieren. Yu Xian, Gründer des Blockchain-Sicherheitsunternehmens SlowMist, sagte, er sei verwirrt darüber, dass Coinbase eine Seite hosten würde, auf der Benutzer aufgefordert werden, eine mnemonische Phrase im Klartext einzugeben, um Vermögenswerte wiederherzustellen, und sagte, die Praxis sei so unsicher, dass er sich zunächst fragte, ob die Subdomain gehackt worden sei. Die Warnung verschärfte die Kernkritik an der Seite: Eine offizielle Marke, eine dringende Frist und ein Seed-Phrase-Workflow vereinen sich zu einem Format, das Angreifer regelmäßig nachahmen. Unterdessen schrieb der Chief Information Security Officer von SlowMist, 23pds, auf X, dass es „zwei Probleme“ mit dem Fluss gebe. Zunächst sagte er: „Obwohl der Link von der offiziellen Coinbase-Website stammt, ist es äußerst dumm, Benutzer direkt aufzufordern, ihre mnemonischen Phrasen zu übermitteln, um Vermögenswerte zu überprüfen.“ Zweitens stellte er fest, dass die Site über eine fehlerhafte Sitemap verfügte, die es Angreifern ermöglichte, das Frontend zu kopieren und einen Beinahe-Klon auf einer ähnlichen Domain bereitzustellen, was einen starken Phishing-Köder für Benutzer darstellte, die bereits darauf vorbereitet waren, der Coinbase-Version zu vertrauen. Darüber hinaus ging der Blockchain-Ermittler ZachXBT noch direkter auf diesen Punkt ein. In einem Beitrag auf Ihre Bedenken sind nicht überraschend, wenn man bedenkt, dass Phishing- und Social-Engineering-Betrügereien nach wie vor einer der wirksamsten Angriffsvektoren gegen die Kryptoindustrie sind. Letztes Jahr enthüllte ZachXBT, dass Coinbase-Benutzer durch Social-Engineering-Betrügereien jährlich mehr als 300 Millionen US-Dollar verlieren. Dies zeigt, warum der Handelsfluss eine so starke Reaktion ausgelöst hat. Sicherheitsteams haben den Benutzern jahrelang beigebracht, dass jede Anfrage mit einer Seed-Phrase den Beginn eines Betrugs darstellt. Allerdings könnte eine Coinbase-eigene Seite, die denselben Satz verwendet, die visuellen und verhaltensbezogenen Hinweise verändern, auf die sich Benutzer verlassen sollen. Die Sicherheitsdebatte wird immer schwieriger, da sich Coinbase bereits mit den Nachwirkungen vergangener Social-Engineering-Vorfälle auseinandersetzt. Im Mai 2025 berichtete Coinbase, dass Cyberkriminelle eine Gruppe bestochen hätten