Alerta de Seguridad: Página de Coinbase Commerce Solicitaba Frases Semilla, Contradiciendo Buenas Prácticas

Una página web oficial asociada al producto Coinbase Commerce generó alarma entre expertos en ciberseguridad esta semana al solicitar a los usuarios que ingresaran sus frases de recuperación o seed phrases para acceder a fondos. Investigadores destacados alertaron que esta práctica, contraria a las advertencias de la propia empresa, crea un precedente peligroso para estafas de ingeniería social. Coinbase ha confirmado a Cointelegraph que está investigando el incidente.

El Hallazgo y la Alarma de los Expertos

El miércoles 19 de marzo, Yu Xian, fundador de la firma de seguridad SlowMist, dio la voz de alarma a través de la plataforma X. El experto señaló la existencia de una página en un subdominio oficial de Coinbase Commerce que funcionaba como una “herramienta de retiro” y pedía a los usuarios que pegaran su frase semilla.

Estoy realmente perplejo de por qué Coinbase tendría una página como esta… una práctica tan insegura es simplemente increíble

La crítica se centra en que una frase semilla otorga control total sobre una cartera de criptomonedas de auto-custodia. Compartirla con cualquier tercero o introducirla en un sitio web compromete irremisiblemente todos los fondos asociados, un principio básico de seguridad en el ecosistema.

El Vínculo con la Documentación Oficial de Coinbase

El investigador ZachXBT profundizó en el hallazgo, conectando la página cuestionada con una guía de ayuda oficial del producto Commerce de Coinbase. Dicha guía, que ha sido eliminada, instruía a los usuarios sobre cómo recuperar fondos importando su frase semilla en carteras compatibles y los dirigía específicamente a la herramienta de retiro ahora bajo escrutinio.

La guía también aclaraba que las carteras de Coinbase Commerce son de auto-custodia, lo que significa que la empresa no tiene acceso a las frases semilla de los usuarios. Esta precisión hace más contradictoria la existencia de una página oficial que las solicitara. ZachXBT resumió el riesgo en una pregunta: “¿Así que básicamente Coinbase tiene una página oficial en vivo que actores maliciosos pueden usar para atacar a usuarios de Coinbase mediante ingeniería social con frases semilla?”.

La Contradicción con los Propios Consejos de Seguridad

La situación presenta una clara contradicción con los consejos de seguridad que la propia Coinbase promueve activamente. En otra sección de su centro de ayuda, la empresa advierte enfáticamente: “Nunca comparta su frase de recuperación. Nunca la ingrese en ningún sitio web”. Esta directriz busca proteger a los usuarios de las estafas de phishing.

El incidente ocurre en un contexto de advertencias recientes de la compañía. Tan solo el martes 18 de marzo, Coinbase alertó a sus usuarios sobre estafadores que se hacen pasar por agentes de soporte técnico con el objetivo de robar información sensible.

Respuesta y Situación Actual

Frente a las consultas de Cointelegraph, un portavoz de Coinbase confirmó que la empresa está “investigando el asunto”. Hasta el momento, Coinbase no ha emitido un comunicado público oficial detallando el origen o el alcance del problema.

Se desconoce si la página fue el resultado de un error técnico, una falla de configuración o un problema interno. La única acción confirmada hasta ahora es la eliminación de la guía de ayuda de Coinbase Commerce que referenciaba y dirigía a los usuarios hacia dicha herramienta.

Contexto y Buenas Prácticas de Seguridad

Este incidente sirve para reiterar los principios fundamentales de seguridad en criptomonedas. Una frase semilla o una clave privada nunca debe ser introducida en un sitio web, compartida por correo electrónico, mensaje de texto o entregada a un supuesto agente de soporte que contacte al usuario de manera no solicitada.

El uso legítimo y seguro de una frase semilla se limita a restaurar o importar una cartera en un software de confianza, instalado directamente en un dispositivo seguro del usuario. Ante cualquier duda o procedimiento inusual, se recomienda verificar siempre la información a través de los canales oficiales de la empresa.