安全研究人員對一個出現的 Coinbase Commerce 頁面發出警告，該頁面似乎要求用戶輸入錢包恢復短語。此事件重新點燃了對利用種子短語流程的擔憂，認為這可能會使在釣魚攻擊中經常利用的行為變得常態化，尤其當它與可信平台相關聯時。
爭議始於區塊鏈安全公司 SlowMist 的創始人兼安全圈知名人物余賢在 X 上引起注意。他質疑為何由 Coinbase 托管的頁面會徵求純文本的助記詞以進行資產恢復，並形容這種做法是一個令人難以接受的安全漏洞。
Coinbase 尚未公開說明該頁面的來源，僅表示正在審查此事。該公司告訴 Cointelegraph 正在調查此問題，但未提供進一步資訊。截至發稿時，余賢未予回應，Cointelegraph 也未收到他進一步的評論。
在加密社群中，種子短語被視為自我保管錢包的鑰匙。用戶若分享這些短語，風險在於將控制權交給攻擊者，因為這些短語賦予完全存取兼容錢包中資產的權限。指導方針依然明確：切勿向第三方、客服或不可信的網站透露種子短語。
來源：余賢（Cos）
Coinbase 提及該子域名為商務“提款工具”
加密追蹤社群成員，包括 ZachXBT，指出該頁面在 Coinbase 公開的幫助文件中被提及，與其 Commerce 產品相關。ZachXBT 指出，該指南似乎描述了一種用戶通過將種子短語導入兼容錢包（如 Coinbase Wallet 或 MetaMask）來恢復資金的方法，並指向同一子域名上的提款工具，該工具已引起關注。
這一說法得到了 Coinbase 自身幫助資料中的陳述的支持，該資料描述了自我保管錢包——意味著 Coinbase 無法存取種子短語，也無法在資產遺失時進行恢復。該文件隨後引發了關於此類指導與該頁面要求輸入種子短語之間是否一致的疑問。
“所以基本上 Coinbase 有一個正式的頁面，惡意攻擊者可以利用這個頁面通過種子短語的社交工程攻擊 Coinbase 用戶，如果他們想的話？”
這句由 ZachXBT 在 X 上分享的話，凸顯了利用官方途徑進行釣魚的潛在風險，尤其當該頁面被證實為合法或配置錯誤時。此事件處於用戶教育、平台信任與自我保管流程日益複雜的交叉點。
為用戶與開發者帶來的意義
種子短語是自我保管安全的核心。即使在看似官方的情境中，隨意要求提供此類憑證的頁面也違反了錢包提供商和安全研究人員廣泛推崇的最佳實踐。對用戶而言，這增加了社交工程攻擊的風險，攻擊者可能結合合法品牌與欺騙性提示來誘騙用戶。對開發者和交易所而言，此事件凸顯了一個微妙的平衡：在提供恢復和互操作性功能的同時，避免暴露用戶於新的攻擊面。
自我保管錢包讓用戶能直接控制私鑰和恢復短語，但伴隨而來的是責任。如果一個可信的入口不經意間或無意中要求助記詞數據，用戶可能會在資產風險或損失時選擇配合。此事件因此引發更廣泛的討論：如何設計既用戶友好又能抵抗操控的恢復流程。
Coinbase 的回應與未來方向
Coinbase 已承認此事並表示正在調查，但尚未公開提供細節。該公司此前曾建議用戶不要將種子短語粘貼到任何網站，並強調其 Commerce 錢包是自我保管的，意味著 Coinbase 無法存取種子短語或在資產遺失時進行恢復。此次事件引發了疑問：該頁面是否為官方功能、配置錯誤或是與 Commerce 相關的安全漏洞？
此外，Coinbase 一直強調釣魚和社交工程的警示，指出詐騙者可能冒充客服進行電話或線上詐騙，竊取登錄資料和驗證碼。該公司敦促用戶只通過官方渠道（如 X 和 Reddit）尋求支援。局勢的演變留下了幾個未解之謎：
該頁面是技術錯誤、配置錯誤的子域名，還是試圖引導用戶進行種子短語恢復的實際企圖？
提及的幫助指南是否反映了當前的產品流程，或已因審查而被修改或刪除？
Coinbase 將採取哪些措施來防止未來出現類似提示？是否會更新 Commerce 文件以澄清有關種子短語的最佳實踐？
更廣泛安全格局的背景
釣魚和社交工程在加密領域中仍然是普遍存在的風險，攻擊者不斷調整誘餌，圍繞熟悉的品牌和服務。例如，OpenClaw 釣魚事件展示了攻擊者如何結合“免費代幣”的訊息與看似真實的界面來誘騙受害者。在這種環境下，任何涉及種子短語的功能——無論是作為恢復流程的一部分還是跨錢包導入——都需要特別嚴格的安全措施和明確的用戶教育。Cointelegraph 之前曾報導，安全研究人員呼籲對種子短語暴露保持警惕，強調盡可能將恢復資料保持私密和離線的重要性。
讀者接下來應關注的內容
未來幾天和幾週，可能會揭示 Coinbase 如何解決有關 Commerce 頁面及其恢復流程的疑問。請留意：
Coinbase 發布的官方聲明，詳細說明調查結果及任何對 Commerce 文件或用戶流程的變更。
關於該子域名提示是否為運行中的、實驗性質的或配置錯誤的進一步說明。
錢包提供商和安全研究人員持續提供的安全恢復建議，特別是針對與交易所支持服務相關的自我保管設置。
隨著行業對此事件的評估，這也再次強調一個核心原則：種子短語仍是高度敏感的資產，即使是看似合法的界面也必須謹慎對待。未來的路徑將取決於更清晰的恢復機制，既能保護用戶控制權，又能防止社交工程的新機會。
本文最初刊載於 Crypto Breaking News，標題為 Coinbase Commerce prompts seed phrases, raising security concerns。
