Points clés à retenir
- Coinbase La page de migration commerciale demande aux utilisateurs de saisir des phrases de départ en texte brut, ce qui suscite des problèmes de sécurité majeurs.
- SlowMist et ZachXBT préviennent qu’il facilite le phishing et la vidange du portefeuille pendant la ruée vers l’arrêt.
- Pas de fonctionnaire Coinbase réponse encore ; les experts recommandent d’éviter la page et d’utiliser des méthodes de récupération hors ligne.
Coinbase est dans les dernières semaines de la fermeture de son usine de longue date Coinbase Plateforme de commerce, avec une date limite fixée au 31 mars 2026.
Les commerçants et les utilisateurs doivent tout migrer vers le nouveau Coinbase Service professionnel ou risque de perdre l’accès.
Au milieu de cette migration se trouve une page de récupération du retrait qui met les chercheurs en sécurité dans les bras.
La page demande sans détour aux utilisateurs de « Entrez votre phrase de récupération secrète ».
Coinbase La page de retrait du commerce est devenue le centre d’attention de la communauté crypto, mais pour de mauvaises raisons.
La page demande aux utilisateurs de saisir leur phrase de départ en texte brut, ce qui crée un risque de sécurité énorme.
Il note que lorsque le compte Commerce a été créé, les utilisateurs ont reçu un mnémonique de 12 mots (expression de départ) pour leur portefeuille auto-dépositaire.
Le formulaire demande ensuite aux utilisateurs de coller cette phrase exacte ou même une clé privée dans un champ de texte brut.
Pour rendre les choses « plus faciles », le site ajoute : « Connectez-vous à Google Drive depuis le portail, copiez la phrase et collez-la dans le champ de texte ci-dessous. »
Les sections d’aide pliables renforcent les sauvegardes dans le cloud, les notes papier ou les gestionnaires de mots de passe en tant qu’options de stockage normales.
De plus, il existe un outil de récupération pour les anciens portefeuilles pendant l’arrêt.
En pratique, cela viole l’une des règles les plus fondamentales de la crypto-monnaie : ne jamais saisir votre phrase de départ sur un site Web.
Les phrases de départ sont la clé principale des fonds auto-dépositaires.
Quiconque obtient les 12 mots obtient un contrôle permanent et irréversible : pas de réinitialisation de mot de passe, pas d’intervention du support client, pas de récupération.
Coinbase déclare lui-même dans ses articles d’aide que « personne, pas même Coinbasepeut accéder à vos fonds sans la phrase secrète de récupération.
Pourtant, son propre outil de migration demande aux utilisateurs de transmettre cette clé principale directement à un navigateur.
Coinbase n’a publié aucune déclaration publique répondant aux critiques de sa page de phrases de départ.
Ni son compte X officiel ni son blog n’ont commenté l’analyse de SlowMist ou les préoccupations de ZachXBT.
Sommaire
Alarme sonore SlowMist et Crypto Community
Entreprise de sécurité SlowMist a été parmi les premiers à signaler » la page publiquement le 19 mars, qualifiant le design de « comportement extrêmement dangereux » et de « vraiment déroutant ».
La société a noté que l’intégralité de l’interface peut être téléchargée avec des outils simples tels que ResourcesSaver, permettant aux attaquants de créer des clones de phishing au pixel près en quelques minutes.
Les utilisateurs qui ont été formés pour faire confiance à tout ce qui se trouve sous le domaine coinbase.com pourraient facilement être amenés à visiter une fausse version qui semble identique.
L’enquêteur sur la blockchain, ZachXBT, a amplifié l’avertissement le même jour :
« Donc, en gros, Coinbase dispose d’une page officielle que les acteurs de la menace en direct peuvent utiliser pour cibler Coinbase utilisateurs via l’ingénierie sociale de la phrase de départ s’ils le voulaient ? »
Il a noté que des acteurs malveillants pouvaient combiner des sites clonés avec des DM ciblés, de faux tickets d’assistance ou même des attaques de l’homme du milieu sur la page légitime elle-même.
Le danger n’est pas théorique ; Les utilisateurs de crypto perdent déjà des centaines de millions chaque année à cause du phishing par phrase de départ.
Un look officiel Coinbase Une page qui normalise le collage de la phrase rend les campagnes d’ingénierie sociale exponentiellement plus efficaces.
Une seule extension de navigateur compromise, un réseau Wi-Fi malveillant ou une fenêtre contextuelle intelligemment programmée pourraient vider instantanément les portefeuilles.
Pour les commerçants détenant des fonds commerciaux, l’impact financier pourrait être existentiel.
Le timing coïncide avec une échéance très tendue. Les commerçants qui se précipitent pour déplacer leurs actifs avant le 31 mars sont plus susceptibles de baisser leur garde, exactement l’état psychologique qu’exploitent les escrocs.
Ce que les commerçants et les utilisateurs devraient faire dès maintenant
Le chemin le plus sûr est simple : traitez la page en dernier recours :
-
Exporter des actifs vers un portefeuille matériel (Ledger, Trezoretc.) ou vers un nouveau portefeuille logiciel hors ligne que vous contrôlez.
-
Ne collez jamais la phrase de départ dans un navigateur, même dans celui que vous considérez comme officiel.
-
Vérifiez chaque URL manuellement et évitez de cliquer sur les liens des DM ou des e-mails.
- Si vous ne parvenez pas à localiser votre phrase originale, contactez Coinbase soutien via les canaux officiels uniquement.
- Comprenez que sans le mnémonique, les fonds peuvent être définitivement inaccessibles, comme le prévient la page elle-même.
Cet incident nous rappelle brutalement que même les plus grandes bourses peuvent introduire des choix UX catastrophiques sous la pression des délais.
L’auto-garde signifie l’auto-responsabilité, et aucune fonctionnalité pratique ne vaut la peine de risquer la totalité de votre portefeuille.
L’horloge tourne Coinbase Commerce.
Pour le bien des fonds des utilisateurs, la communauté espère Coinbase soit désactivera immédiatement la saisie de texte en clair, soit fournira une alternative de migration véritablement sécurisée avant le 31 mars.
Articles les plus tendances sur les cryptomonnaies