Coinbase Commerce'un Kripto Para Güvenliği Açığı: Kurtarma İfadelerini İsteyen Web Sayfası Eleştirilere Hedef Oldu

Coinbase Commerce'un, kullanıcıların 12 kelimelik kurtarma ifadelerini (seed phrase) doğrudan bir web formuna girmesini isteyen bir alt alan adı (subdomain) sayfası, blockchain güvenlik araştırmacılarının sert eleştirilerine hedef oldu. Özellikle Coinbase Commerce'un 31 Mart 2026'da tamamen kapatılacak olması ve bu süreçte kullanıcıların fonlarını çekmek için sınırlı bir zaman dilimine sahip olması, bu durumu daha da kritik hale getiriyor.

withdraw.commerce.coinbase.com/seed-phrase adresindeki sayfa, kullanıcıları kurtarma ifadelerini girmeye yönlendiriyor. Güvenlik uzmanları, bu durumun, kullanıcıları phishing (oltalama) saldırılarına karşı savunmasız bıraktığını belirtiyor. SlowMist kurucusu Yu Xian, bu uygulamanın büyük bir endüstri oyuncusunun inanılmaz bir güvenlik farkındalığı eksikliğini gösterdiğini ifade etti. On-chain araştırmacısı ZachXBT de, bu sayfanın Coinbase kullanıcılarını hedef alan sosyal mühendislik saldırıları için doğrudan bir yüzey oluşturduğuna dikkat çekti.

23pds, sayfanın sitemap'ındaki yapısal hataların kötü niyetli aktörlerin bu sayfayı kolayca kopyalamasına olanak sağladığını belirtti. Saldırganlar, sayfanın ön yüz kodunu indirerek, Coinbase benzeri domainlerle birleştirerek kullanıcıları kandırabilecek sahte siteler oluşturabilirler. Bu durum, sektördeki temel güvenlik prensibini ihlal ediyor: Kurtarma ifadeleri hiçbir zaman herhangi bir web sitesine, forma veya uygulamaya girilmemelidir.

Coinbase'in bu durumu düzeltmek için henüz bir açıklama yapmaması ve alternatif para çekme yöntemleri sunmasına rağmen seed phrase sayfasını kaldırmaması, eleştirilerin dozunu artırıyor. Commerce'un kalıcı olarak devre dışı bırakılmasına sadece günler kala, Coinbase'in itibarını korumak için harekete geçmesi gerekiyor. ZachXBT, daha önce Coinbase destek taklidini kullanarak yaklaşık 2 milyon dolar değerinde kripto para çalınmasına yol açan bir dolandırıcılığı ortaya çıkarmıştı. Bu olay, Commerce seed phrase sayfasının daha büyük ölçekli bir saldırı için hazır bir şablon oluşturduğunu gösteriyor.