Coinbase子域名页面被指要求用户输入助记词 引发安全担忧

安全研究人员发现一个与Coinbase关联的Commerce页面疑似要求用户输入钱包助记词，引发关于钓鱼攻击风险的担忧。该页面被区块链安全平台SlowMist创始人Yu Xian（Cos）在社交平台X上指出，称其行为“令人震惊”。

Coinbase尚未公开回应，仅表示正在调查。该页面曾被引用在已删除的Coinbase帮助文档中，作为Commerce产品的资金提取工具。文档曾指导用户通过导入助记词至兼容钱包（如Coinbase Wallet或MetaMask）来恢复资金，并指向同一子域名下的提款工具。

尽管Coinbase强调其Commerce钱包为自托管，公司不掌握用户助记词，也无法在用户丢失助记词时恢复资金，但该页面的存在可能被恶意行为者利用，进行针对Coinbase用户的社交工程攻击。区块链安全分析师ZachXBT在X上表示：“这本质上是Coinbase官方提供了一个攻击者可以利用的页面。”

此外，Coinbase在其他官方指南中明确警告用户，切勿在任何网站输入助记词。公司还于周二发出警告，称有诈骗者冒充客服人员通过电话或在线渠道窃取登录信息和验证码，强调其官方不会主动联系用户，建议通过其在X和Reddit的官方渠道获取帮助。

Cointelegraph已联系Yu Xian和Coinbase寻求进一步评论，截至发稿时未获回应。