コインベース、パスワード流出につながる脆弱性を発見

大手仮想通貨取引所のCoinbase, Inc.（本社：548 Market St #23008 San Francisco, CA94104[1]）【以下、コインベースと称す】は、一部ユーザーのパスワードが内部サーバにプレーンテキストの形式で保存されていたことを発見した。[2]

コインベースの発表によると、ユーザーのパスワードや個人情報が内部のログに記録されており、最大3,500人の口座に被害を及ぼす可能性があるという。具体的には、コインベースの登録ページが正しく読み込まれないエラーが発生し、フォームに入力した氏名やメールアドレス、パスワード、居住地などの個人情報が内部のサーバに送信される事態に見舞われていたようだ。既にコインベースはこのことを対象のユーザーに通達しており、今の所その脆弱性を狙ったハッキングなどは発生していない。

このエラーはコインベースが主流なプログラミング言語のひとつであるJavaScriptのライブラリであるReact.jsを使用してサーバ側のレンダリング処理を有効にしたことに起因し、ユーザーがJavaScriptを無効にしている場合など、登録ページを適切にロードできない状況を招いている。この問題はHTML（ウェブページを構成する基本的な言語）の記述を変更することで既に修正されているが、コインベースは他の入力フォームが正しく動作するか確認を行うと同時に、今回記録された個人情報が内部サーバに散在していないか検証すると発表した。また、コインベースは新しいパスワードを設定するようユーザーに促しており、不正アクセスの可能性を断ち切ろうとしているようだ。

このようなバグを発見するためにコインベースは、報奨金プログラムを立ち上げており、これまでに25万ドル以上を支払いセキュリティの向上に努めているという。コインベースは同社のシステムが厳しく監視されていることに加え安全性の高さをアピールしているが、韓国では年々仮想通貨ハッキング被害が拡大する中、今回の件が顧客資産の流出につながらないことを願いたい。

release date 2019.08.19

• Coinbase, Inc.

  https://www.coinbase.com/about

• The Coinbase Blog

  https://blog.coinbase.com/post-mortem-a-closer-look-at-a-password-storage-issue-affecting-3-420-customers-e23cfc8a0363