Kecurian Coinbase berpunca daripada manipulasi manusia, bukan eksploit kontrak pintar

Bukti awam paling kukuh setakat ini menunjuk kepada seorang atau sekumpulan pengendali pancingan data dan kejuruteraan sosial yang bermotifkan kewangan—bukan penyerang yang telah disahkan mengeksploit kontrak pintar Coinbase.

Laporan selepas aktiviti terbaru menyebut kira-kira AS$500,000 dalam mata wang kripto telah ditukar kepada Ether dan disalurkan melalui Tornado Cash pada 16 Ogos. Pergerakan itu menyusuli pemindahan serupa bernilai sekitar AS$2 juta kira-kira tiga minggu sebelumnya. Dompet berkaitan juga dilaporkan masih menyimpan dana bernilai puluhan juta dolar.

Namun, pengenalpastian pelaku masih bersifat sementara. Label blockchain seperti “penggodam Coinbase” ialah hipotesis analitik, bukannya keputusan mahkamah atau pengesahan identiti. Jumlah melebihi AS$300 juta pula merupakan anggaran penyiasat atau media tentang keseluruhan kerugian yang dilaporkan—bukan bukti bahawa semua kecurian pengguna Coinbase dilakukan oleh individu atau kumpulan yang sama.

Bagaimana kecurian pengguna Coinbase dilaporkan berlaku

Corak kempen ini lebih banyak bergantung pada manipulasi manusia berbanding kelemahan kod. Mangsa dilaporkan dihubungi penipu yang menyamar sebagai wakil sokongan Coinbase. Mereka kemudiannya ditekan untuk mendedahkan kelayakan log masuk, meluluskan transaksi, memindahkan aset atau memberikan kawalan akaun dengan cara lain. Laporan mengenai kempen ini secara jelas membezakannya daripada eksploit kontrak pintar.

Perbezaan ini penting. Dalam eksploit kontrak pintar, penyerang biasanya menyalahgunakan kelemahan dalam logik aplikasi atas rantaian. Dalam penipuan penyamaran sokongan pula, penyerang memanipulasi pemilik akaun supaya sendiri memberi kebenaran atau membantu membolehkan pemindahan berlaku.

Dengan kata lain, titik lemah utama ialah kepercayaan dan pertimbangan pengguna—selalunya diperkuat maklumat peribadi yang meyakinkan serta tekanan supaya mangsa bertindak segera.

Apa yang ditunjukkan oleh anggaran kerugian besar

Pada Februari 2025, penyiasat blockchain ZachXBT dan tanuki42 melaporkan kerugian pengguna Coinbase melebihi AS$65 juta sepanjang Disember 2024 dan Januari 2025. Mereka turut menganggarkan kerugian tahunan akibat penipuan kejuruteraan sosial yang serupa mungkin melebihi AS$300 juta. Semakan mereka merangkumi laporan mangsa dan aktiviti atas rantaian, tetapi mereka mengakui data yang tersedia tidak lengkap.

Laporan kemudian mengaitkan kira-kira AS$45 juta lagi kerugian pengguna Coinbase dengan penipuan kejuruteraan sosial yang diselaraskan dalam tempoh seminggu pada Mei 2025.

Angka-angka ini menyokong gambaran bahawa serangan berlaku secara berterusan dan tersusun. Bagaimanapun, ia tidak membuktikan semua insiden tersebut—atau semua pergerakan dana melalui pencampur kripto—dikawal oleh pengendali dompet yang sama.

Dalam satu siasatan, penyelidik turut mengenal pasti alamat pengumpulan dana yang dikaitkan dengan lebih 25 mangsa. Pengelompokan seperti ini boleh membantu penyiasat menghubungkan transaksi dan mengenal pasti corak kempen, tetapi ia masih merupakan atribusi tidak langsung, bukannya bukti identiti sebenar pelaku.

Insiden data pelanggan Coinbase: konteks penting, tetapi kaitan belum terbukti

Coinbase mendedahkan pada Mei 2025 bahawa penjenayah telah merasuah sebahagian kakitangan sokongan pelanggan di luar negara untuk mendapatkan maklumat pelanggan. Data itu dilaporkan bertujuan membantu penjenayah menyamar sebagai Coinbase dan memperdaya pengguna supaya menghantar mata wang kripto. Coinbase menganggarkan kos pemulihan serta bayaran balik sukarela kepada pelanggan antara AS$180 juta hingga AS$400 juta.

Insiden tersebut boleh menjadikan penipuan penyamaran sokongan lebih meyakinkan. Pemanggil yang mengetahui nama, butiran hubungan atau maklumat akaun pelanggan mungkin kelihatan jauh lebih dipercayai.

Namun, bukti awam yang tersedia tidak menunjukkan bahawa penjenayah di sebalik insiden data orang dalam itu ialah individu yang sama dengan pengawal dompet yang dikaitkan dengan laporan kecurian lebih luas. Kedua-dua perkara ini wajar dilihat sebagai konteks risiko yang berkaitan, bukan atribusi bersama yang telah disahkan.

Ejekan terhadap penyiasat bukan bukti identiti

Pada Mei 2025, sebuah dompet yang dikaitkan penyiasat dengan kempen pancingan data Coinbase dilaporkan menukar Bitcoin bernilai kira-kira AS$42.5 juta kepada Ether melalui THORChain. Dompet itu turut menghantar mesej atas rantaian kepada ZachXBT yang berbunyi “L bozo”.

Mesej itu menunjukkan bahawa pengawal dompet tersebut sanggup memprovokasi penyiasat secara terbuka. Tetapi ia tidak mendedahkan nama, lokasi atau hubungan pelaku berkenaan dengan setiap kecurian lain yang dikaitkan dengan kempen tersebut.

Mengapa Tornado Cash menyukarkan pemulihan dana

Pencampur mata wang kripto, atau crypto mixer, direka untuk menyukarkan hubungan terus antara deposit dan pengeluaran. Tornado Cash menggunakan kumpulan dana bersama serta mekanisme transaksi yang memelihara privasi. Dana yang dimasukkan dari satu alamat boleh dikeluarkan kemudian ke alamat lain.

Ini tidak bermakna rekod blockchain hilang. Namun, jejak mudah daripada deposit kepada pengeluaran menjadi jauh lebih sukar untuk dibuktikan.

Penyiasat masih boleh meneliti masa transaksi, saiz pemindahan, corak tingkah laku dompet, jambatan rentas rantaian, bursa terdesentralisasi dan alamat deposit bursa berpusat. Petunjuk ini mungkin menghasilkan korelasi, tetapi korelasi semata-mata tidak semestinya cukup untuk mengenal pasti individu di sebalik pengeluaran atau meyakinkan bursa dan mahkamah supaya membekukan dana.

Semakin lama aset berada di luar jagaan pihak yang boleh dikenal pasti, semakin sukar proses pemulihan dilakukan.

Apa yang berubah selepas keputusan mahkamah Amerika Syarikat pada November 2024

Pada 26 November 2024, Mahkamah Rayuan Litar Kelima Amerika Syarikat memutuskan bahawa Pejabat Kawalan Aset Asing (OFAC) di bawah Jabatan Perbendaharaan telah melampaui kuasa berkanunnya apabila mengenakan sekatan terhadap kontrak pintar Tornado Cash yang tidak boleh diubah. Mahkamah berpendapat kontrak tersebut bukan “harta” yang boleh disekat di bawah undang-undang berkaitan.

Keputusan itu menyentuh asas undang-undang bagi sekatan tersebut. Ia tidak menghalalkan kecurian atau pengubahan wang haram, tidak menghapuskan kemungkinan pertuduhan jenayah dan tidak menjamin dana yang dihantar melalui mixer boleh dipulihkan. Keputusan mahkamah dan persoalan penggunaan jenayah ialah dua perkara berasingan.

Pengajaran praktikal untuk pengguna Coinbase

Risiko paling berterusan dalam kes ini bukanlah kegagalan misteri pada infrastruktur blockchain Coinbase. Risikonya ialah individu yang kedengaran meyakinkan di hujung panggilan, mesej atau pautan.

Pengguna wajar:

• Menganggap panggilan, mesej teks dan mesej langsung yang tidak diminta kononnya daripada sokongan Coinbase sebagai cubaan penipuan.
• Jangan sesekali mendedahkan kata laluan, frasa pemulihan, kod sekali guna atau kunci peribadi.
• Jangan memberikan akses jauh kepada peranti atas arahan ejen sokongan yang tidak disahkan.
• Elakkan mengklik pautan sokongan dalam mesej yang tidak dijangka.
• Buka aplikasi Coinbase rasmi atau taip alamat laman webnya sendiri sebelum mendapatkan bantuan.
• Jika kecurian berlaku, simpan mesej, nombor telefon, alamat dompet dan hash transaksi, kemudian laporkan kejadian itu dengan segera.

Pergerakan dana pada 16 Ogos menunjukkan aset yang dikaitkan dengan kempen yang dilaporkan masih aktif. Tetapi kesimpulan yang lebih asas tetap sama: kejuruteraan sosial boleh menewaskan kawalan teknikal yang kukuh apabila penyerang berjaya memujuk pengguna sah untuk meluluskan pemindahan.