Coinbase，即美国最大的加密货币交易所，因2024年12月至2025年1月间一系列社交工程诈骗而受到严密审查，用户损失达数百万美元。

根据区块链调查员ZachXBT的报告，在这两个月的时间里，至少有6500万美元被从Coinbase用户那里盗走。

这项报告揭示了更广泛的问题，过去一年中估计总损失超过1.5亿美元。

这些诈骗的共同点是使用网络钓鱼邮件、虚假的客服电话和模仿Coinbase界面的欺诈网站。

攻击者以账户安全验证为名，诱骗受害者将资金转移到诈骗钱包中。

一旦资金被转移，它们会迅速通过跨链桥和混合服务被洗钱，使得恢复几乎不可能。

尽管网络安全专家多次发出警告，Coinbase仍然难以实施有效的对策，导致用户面临日益增长的威胁。

诈骗的运作方式以及Coinbase为何难以应对

在详细分析中，ZachXBT和一位研究人员分析了提现数据和用户报告，揭示了一种利用Coinbase安全缺陷的复杂诈骗模式。

一位受害者损失约85万美元，其资金被追踪至一个与超过25名其他受害者关联的单一钱包地址。

另一宗高调盗窃案中，一名Coinbase用户失去了110个cbBTC（即Coinbase在Base网络上的包裹比特币），价值1150万美元。

ZachXBT的调查显示，诈骗者运用了一系列先进的策略和心理操控来获取用户账户的访问权限。

攻击者通常通过电话联系受害者，利用被侵犯数据库中的数据来伪装成合法身份。

他们伪装成Coinbase的代表，警告用户他们的账户被盗，并要求立即采取行动。

受害者随后被引导到完美模仿Coinbase界面的欺诈网站，在那里，他们被提示输入登录凭据或批准交易——不知不觉地将资金转移到诈骗地址。

他们还发送了一封伪装成Coinbase的电子邮件，附有假案例编号来进一步获得信任。

受害者被指示将资金转移到Coinbase钱包，并白名单一个地址，同时“客服”验证他们账户的安全性。

除了网络钓鱼策略，诈骗者还操控Coinbase自己的安全功能。

他们欺骗受害者白名单恶意地址或在将资产转移至“安全”Coinbase钱包的幌子下进行转账。

在初始转账后，诈骗者迅速行动，通过多条链交换、桥接和混合资产，以模糊他们的踪迹。

这种快速洗钱过程确保被盗资金几乎不可追踪或恢复。

尽管这些攻击的规模很大，Coinbase的反应却不尽如人意。用户报告称难以联系到客服，一些案件甚至数周未得到解决。

许多受害者声称他们收到的是一般回复或完全被忽视。与此同时，竞争对手交易所如Kraken、Binance和OKX并未遭遇类似的大规模网络钓鱼事件。

此外，Coinbase内部的风险模型导致对合法用户账户实施激进限制，未能有效防止诈骗。

该交易所还因未能在合规工具中标记盗窃地址而受到批评，允许诈骗者继续在暗处活动。

迫切呼吁安全改革

随着用户的挫败感加剧，专家和用户都在呼吁Coinbase进行紧急安全改革。

ZachXBT概述了交易所应采取的几项措施，以保护用户。

一项建议是通过将电话号码设为高级用户的可选项以增强账户安全，这类用户可以使用身份验证器应用或安全密钥，并且全部符合KYC（了解您的客户）要求。

应为老年用户和新手用户提供保护措施，设立不允许提款的账户类型，以限制高风险提款。

Coinbase还应增强社区联系，通过博客文章、实时事件响应和主动的诈骗检测来提高安全意识。

除了内部安全措施，专家还强调对网络犯罪分子进行法律行动的重要性。

应努力追究美国范围内的威胁行为者的责任，同时针对提供被利用数据的服务商如TLOxp和TransUnion。

尽管Coinbase已采取措施改善其平台——例如提供稳定币的上下车服务并与SEC进行法律斗争——这些举措对于应对不断上升的社交工程攻击潮却微乎其微。