Почему снова третья сторона? Разбор рисков цепочки поставок Coinbase и трудностей защиты

28 октября, по данным DelCrxpto и директора по информационной безопасности SlowMist 23pds, Coinbase подверглась утечке данных: хакеры получили контактную информацию более 70 000 пользователей, но пока не подтверждено, были ли украдены пароли или средства.

В тот же день Coinbase ответила, что «утечки данных не было». По её заявлению, поставщик аналитических услуг Amplitude столкнулся с инцидентом безопасности, который затронул часть контактных данных клиентов Coinbase и данные других клиентов Amplitude. Команда не обнаружила признаков несанкционированного доступа к системам Coinbase, средства клиентов не пострадали, и компания уведомит затронутых клиентов и регуляторов в соответствии с юридическими обязательствами.

На момент публикации Amplitude не прокомментировала инцидент.

Кто такая Amplitude?

Amplitude — американская публичная компания, предоставляющая платформу аналитики цифровых продуктов, со штаб-квартирой в Сан-Франциско, тикер Nasdaq: AMPL. Её бизнес помогает компаниям анализировать поведение пользователей в веб- и мобильных приложениях, включая функции аналитики в реальном времени, воспроизведения сессий, A/B-тестирования и активации данных, по модели подписки SaaS.

Компания возникла из Sonalight, основанной Спенсером Скейтсом и Кёртисом Лю в 2011 году, изначально как приложение для преобразования голоса в текстовые сообщения, и прошла Y Combinator зимой 2012 года. Из-за отсутствия эффективных инструментов анализа поведения пользователей они создали собственную внутреннюю аналитическую систему, а в 2014 году официально переключились на продуктовую аналитику и запустили бренд Amplitude.

Третий соучредитель Джеффри Ванг присоединился в том же году; его предыдущий опыт работы в Palantir и Sumo Logic помог компании создать возможности масштабной обработки данных. Скейтс в настоящее время является генеральным директором, имеет степень бакалавра биоинженерии MIT и дважды выигрывал соревнования по программированию MIT Battlecode.

Amplitude провела прямое листингование на Nasdaq в сентябре 2021 года; выручка за 2025 финансовый год составила около $343 млн, штат около 750–800 сотрудников, клиенты варьируются от стартапов до компаний из списка Fortune 100. Примечательно, что акции AMPL выросли с $6,6 в конце июня и достигли годового максимума $17,72 23 октября.

По данному инциденту на 28 октября в открытых источниках нет официального заявления Amplitude или уведомления на странице статуса. Ранее у компании не было публичных записей о масштабных утечках данных самой платформы. В инциденте SpotAngels в сентябре 2026 года третья сторона использовала украденные учётные данные для доступа к части данных, хранящихся в Amplitude, но SpotAngels прямо пояснила, что платформа Amplitude не была взломана.

У Amplitude есть подтверждённые клиенты в финансовом и криптовалютном секторах. Ramp Network — платформа ввода и вывода криптовалют, активно использующая аналитику, эксперименты и воспроизведение сессий Amplitude в основном для продуктовой аналитики и анализа пользовательского пути, а не для основных систем средств. Xapo Bank — биткоин-банк и кастодиан, использующий Amplitude Analytics и Feature Experimentation для оптимизации процесса открытия счетов, также не затрагивая основные системы хранения и приватных ключей.

Среди других финансовых клиентов — американская финтех-компания Dave, Salt Bank и некоторые форекс- и деривативные брокеры. Для таких клиентов риск в основном ограничен данными поведенческой аналитики и частью контактной информации, а не транзакциями, балансами или приватными ключами; основные угрозы после утечки — фишинг, социальная инженерия и подмена SIM-карты, а не прямая кража средств.

Coinbase заявила, что инцидент затронул данные других клиентов Amplitude, но на данный момент не назвала конкретные компании, а Ramp Network, Xapo и другие не публиковали соответствующих заявлений. Пострадавшие стороны могут уведомить пользователей в частном порядке или всё ещё оценивают масштаб воздействия.

У Coinbase ранее были более серьёзные инциденты безопасности

Это не первый случай, когда Coinbase сталкивается с проблемами безопасности данных и аккаунтов.

Самый серьёзный произошёл в 2025 году. По официальным данным, преступники подкупили зарубежных агентов службы поддержки и скопировали данные из системы поддержки клиентов, затронув около 69 461 пользователя. Утечка включала имена, адреса, телефоны, электронные письма, последние четыре цифры номеров социального страхования, замаскированную банковскую информацию, изображения государственных удостоверений личности, снимки балансов счетов и историю транзакций, но не пароли и приватные ключи. Злоумышленники в основном использовали эту информацию, чтобы выдавать себя за сотрудников Coinbase и обманом заставлять пользователей самостоятельно переводить криптовалюту.

Coinbase отказалась платить выкуп в $20 млн, вместо этого учредив вознаграждение в том же размере за поимку и осуждение, одновременно уволив причастных сотрудников, разорвав отношения с аутсорсинговым провайдером поддержки и добровольно компенсировав розничным пользователям, обманутым в результате инцидента. Финансовый отчёт компании за второй квартал 2025 года подтвердил связанные расходы около $307 млн, включая компенсации клиентам и прямые юридические издержки.

Более ранний случай произошёл с марта по май 2021 года. Злоумышленники получили электронные письма, пароли и номера телефонов через фишинг и использовали уязвимость в процессе восстановления аккаунта по SMS в Coinbase для обхода двухфакторной аутентификации; средства были выведены как минимум с 6000 аккаунтов. Coinbase впоследствии исправила уязвимость и полностью компенсировала украденные средства по стоимости на момент инцидента.

Общее в обоих случаях — прямые убытки в конечном итоге покрывались платформой, но после утечки данных риск их использования для фишинга и социальной инженерии сохраняется надолго.

28 октября основатель Binance Чанпэн Чжао (CZ) написал на платформе X, что в тот день было сообщено о четырёх утечках данных: помимо стороннего поставщика Coinbase Amplitude, также затронуты корейская криптобиржа Bithumb и корейские традиционные финансовые учреждения Mirae Asset и Daishin Securities.

CZ отметил, что утёкшие с торговых платформ имена, электронные письма, номера телефонов, адреса, документы, удостоверяющие личность, и записи транзакций могут быть использованы для фишинга, подмены SIM-карты и атак социальной инженерии. Его рекомендации сосредоточены на изоляции аккаунтов и методах проверки: использовать отдельные электронные письма и надёжные пароли для разных торговых платформ, отдавать приоритет аппаратным ключам безопасности, Passkey или аутентификаторам, избегать зависимости от SMS-двухфакторной аутентификации, включить белый список адресов вывода и антифишинговый код. Кроме того, следует регулярно проверять сеансы входа в аккаунт и разрешения API-ключей, а также остерегаться мошенничества с выдачей себя за службу поддержки.

Он также напомнил, что утёкшие адреса и информация о владении активами могут привести к реальному вымогательству или ограблению, поэтому пользователям следует избегать публичного раскрытия личных активов.

Кроме того, по наблюдениям нескольких организаций, быстрое развитие ИИ тесно связано с ростом числа инцидентов безопасности в последние годы; его основная роль не в создании совершенно новых типов атак, а в значительном снижении порога атак и ускорении масштабирования существующих методов.

Исследование Гарвардской школы Кеннеди в сотрудничестве с Брюсом Шнайером показало, что полностью автоматизированный большими языковыми моделями персонализированный целевой фишинг имеет показатель кликов около 54%, что сопоставимо с человеческими экспертами и значительно выше обычного фишинга (~12%), и может повысить прибыль крупномасштабных кампаний до 50 раз. Отчёт Microsoft приводит схожие данные по кликам. Дипфейки голоса и видео ещё больше усиливают эти риски.

Темпы эксплуатации уязвимостей также ускоряются. Microsoft сообщает, что медианное время от публикации уязвимости до её вооружения часто составляет менее 24 часов. Отчёт CrowdStrike о глобальных угрозах за 2026 год показывает рост активности противников с использованием ИИ на 89% в 2025 году, а среднее «время прорыва» в электронных преступлениях от первоначального доступа до горизонтального перемещения снизилось до 29 минут. Отчёт IBM «Стоимость утечки данных 2026» указывает, что около четверти злонамеренных утечек связаны с ИИ и имеют более высокую среднюю стоимость.

Брюс Шнайер подчёркивает двойное назначение ИИ: он может эффективно автоматизировать фишинг, но также использоваться для высокоточного распознавания фишинговых намерений. Он считает, что в краткосрочной перспективе защитники могут выиграть больше в некоторых аспектах, но это непрерывная гонка вооружений. CrowdStrike, Microsoft, IBM и другие организации сходятся во мнении: ИИ оптимизирует существующие тактики, такие как социальная инженерия, кража учётных данных и эксплуатация уязвимостей, а не открывает новые фронты, но рост скорости и масштаба атак значительно сокращает окно защиты.

Для криптоиндустрии эта тенденция тесно связана с инцидентами Coinbase. Уязвимость SMS в 2021 году зависела от фишинга для получения учётных данных, суть внутреннего подкупа в 2025 году — социальная инженерия для обмана при переводе средств, а утёкшие в инциденте Amplitude электронные письма и телефоны — именно сырьё для фишинга и социальной инженерии. ИИ делает эти атаки более персонализированными, многоязычными и труднее распознаваемыми, одновременно снижая затраты и расширяя круг целей. Риски цепочки поставок и третьих сторон также усиливаются из-за ускоренной ИИ разведки и эксплуатации.