صرافی کوین‌بیس اعلام کرد که حادثه‌ای با شرکت ارائه‌دهنده خدمات تحلیل، Amplitude، بر اطلاعات تماس بخش کوچکی از مشتریان این صرافی تأثیر گذاشته است. این صرافی تأکید کرد که سیستم‌های داخلی آن مورد نفوذ غیرمجاز قرار نگرفته و وجوه مشتریان امن باقی مانده است. کوین‌بیس همچنین اعلام کرد که کاربران تحت تأثیر قرار گرفته، اعلان‌های لازم را دریافت خواهند کرد. این توضیحات، این افشای اطلاعات توسط شخص ثالث را از حمله مستقیم به کیف پول‌ها یا به خطر افتادن نگهداری وجوه در صرافی متمایز می‌کند، هرچند این شرکت جزئیات جامعی از داده‌های تحت تأثیر یا تعداد مشتریان آسیب‌دیده را به صورت عمومی منتشر نکرده است.
**خطرات ناشی از افشای اطلاعات تماس**
اطلاعات تماس همچنان می‌تواند مشکلات امنیتی واقعی ایجاد کند. کلاهبرداران ممکن است از آدرس ایمیل یا شماره تلفن افشا شده برای ارسال پیام‌های متقاعدکننده فریبنده، تلاش برای بازیابی حساب یا جا زدن خود به عنوان کارمندان پشتیبانی استفاده کنند. آسیب اغلب پس از حادثه اصلی رخ می‌دهد، زمانی که یک مهاجم اطلاعات محدود را با دستورالعمل‌های پرداخت فوری یا درخواست افشای کدهای احراز هویت ترکیب می‌کند. برای مواجهه با ریسک فیشینگ بالاتر در آینده، یک مشتری نیازی به از دست دادن کلید خصوصی خود در حادثه اولیه ندارد. بنابراین، کاربران باید حتی اگر مانده حسابشان عادی به نظر می‌رسد، پیام‌های امنیتی غیرمنتظره را با احتیاط در نظر بگیرند.
**اهمیت این رویداد برای بازار ارزهای دیجیتال**
برای کاربران صرافی، اقدام عملی این است که ارتباطات را از طریق کانال‌های رسمی بوک‌مارک شده خود تأیید کنند، نه از طریق لینک‌های موجود در پیام‌های غیرمنتظره. فعال کردن احراز هویت قوی، بررسی ورودهای اخیر به حساب و احتیاط در قبال درخواست عبارات بازیابی، می‌تواند ریسک مهندسی اجتماعی را کاهش دهد. اینها اقدامات احتیاطی منطقی هستند، حتی زمانی که یک صرافی اعلام می‌کند که مورد نفوذ مستقیم قرار نگرفته است. نکته مهم‌تر برای بازار این است که امنیت نگهداری وجوه و امنیت داده‌های شخصی، اگرچه مرتبط هستند، اما متمایز می‌باشند؛ یک پلتفرم می‌تواند از دارایی‌ها محافظت کند در حالی که یک فروشنده همچنان اطلاعات را نشت می‌دهد.
**پاسخ قوی امنیتی**
قوی‌ترین واکنش امنیتی معمولاً عملیاتی است تا چشمگیر: فهرست کردن سیستم‌های در معرض خطر، محدود کردن دسترسی‌های غیرضروری، اعمال وصله‌های امنیتی تأیید شده، نظارت بر فعالیت‌های غیرعادی و توضیح دقیق حادثه به کاربران آسیب‌دیده. ادعای سوءاستفاده نباید زمانی مطرح شود که تنها یک آسیب‌پذیری احتمالی شناسایی شده است. در عین حال، عدم تأیید سرقت، نیاز به اصلاح را از بین نمی‌برد. اعتماد از توانایی ارائه‌دهنده برای مستندسازی پاسخ خود و حفظ کنترل‌های قابل اعتماد در سراسر اشخاص ثالث و اجزایی که خدماتش به آن‌ها وابسته است، ناشی می‌شود.
**مدیریت ریسک در موسسات نظارت شده**
موسسات نظارت شده که دارایی‌های دیجیتال را ارزیابی می‌کنند، باید هم برای تراکنش‌های مخرب و هم برای خرابی‌های عملیاتی معمول برنامه‌ریزی کنند. یک کلید امن ممکن است پس از یک مشکل سخت‌افزاری غیرقابل استفاده باشد؛ یک پرداخت با امضای صحیح همچنان می‌تواند به مقصد اشتباهی برسد؛ یک جزء نرم‌افزاری مورد اعتماد ممکن است بعداً به خطر بیفتد. بنابراین، دفاع ترکیبی از رمزنگاری با حاکمیت، بازیابی، نظارت بر فروشندگان و تأیید صریح انسانی است. یک ابزار یا مشارکت امنیتی جدید می‌تواند بخشی از آن سیستم را بهبود بخشد بدون اینکه راه‌حل جهانی شود. پرسیدن اینکه دقیقاً کدام تهدیدات مورد رسیدگی قرار می‌گیرند، مفیدتر از اعلام ایمن یا ناامن بودن فناوری است.
**محدودیت‌های آنچه تیتر مقاله بیان نمی‌کند**
این افشاگری وابستگی به زنجیره تأمین را برجسته می‌کند. صرافی‌ها از فروشندگان خارجی برای تحلیل، ارتباطات، پشتیبانی و سایر خدمات استفاده می‌کنند و برخی از آن شرکا ممکن است اطلاعاتی را پردازش کنند که برای مهاجمان ارزشمند است. بنابراین، به حداقل رساندن داده‌ها، کنترل‌های نگهداری، ممیزی فروشندگان و اطلاع‌رسانی فوری، در کنار ذخیره‌سازی سرد و امضای تراکنش‌ها، بخشی از امنیت صرافی محسوب می‌شوند. ادعای کوین‌بیس مبنی بر اینکه وجوه مشتریان تحت تأثیر قرار نگرفته، مهم است، اما اطلاعات موجود محدودیت‌هایی را در مورد دامنه دقیق مشخص می‌کند. تکرار شایعات تأیید نشده در مورد تعداد دقیق مشتریان آسیب‌دیده به عنوان واقعیت، نامناسب خواهد بود.
**گام‌های بعدی**
منتظر بیانیه تفصیلی‌تر حادثه در مورد فیلدهای تحت تأثیر، تکمیل اطلاع‌رسانی و کنترل‌های اصلاحی فروشندگان باشید. تا آن زمان، خوانندگان باید از شمارش‌های تأیید نشده اجتناب کرده و از کانال‌های رسمی پشتیبانی کوین‌بیس برای ارزیابی هرگونه ریسک خاص حساب استفاده کنند.
