Coinbase 正面临安全专家的批评，原因在于其钱包恢复流程要求用户输入完整的明文助记词。这种做法使用户面临重大的安全漏洞，最近英国法庭的一起案件就清晰地说明了这一风险，其中记录下的助记词据称导致了 1.76 亿美元比特币的失窃。该事件加速了行业向更安全、更用户友好的替代方案（如 Passkey 技术）的推进，旨在消除用户直接处理敏感助记词的需求。
3月19日，一位资深安全研究员公开批评了Coinbase的一项钱包恢复功能，该功能提示用户以明文形式输入其完整的助记词。区块链安全公司慢雾（SlowMist）的创始人余弦在社交媒体上称这种做法“难以置信”，强调了其根本性的安全风险。要求用户在网页表单中输入或粘贴其主密钥，会使其暴露于剪贴板攻击、键盘记录器和网络钓鱼方案之下，从而实际上否定了助记词始终保持离线这一核心安全原则。这种设计选择将保护数字环境的责任完全推给了用户，即使对于技术娴熟的个人来说，这也是一个重大的失败点。
暴露助记词所带来的确切风险，在近期英国高等法院的一起案件中得到了清晰的体现。原告 Ping Fai Yuen 声称，其妻子通过秘密使用监控摄像头录下他的助记词和钱包凭证，窃取了 2,323 个比特币，价值约 1.76 亿美元。法庭文件显示，这笔资金随后于 2023 年 12 月被转移到 71 个不同的地址。这起案件提供了一个戏剧性的真实案例，说明即使是物理上的接近也可能在助记词被视觉暴露时造成泄露。这起涉嫌盗窃案强调了恢复流程的必要性，即不要求用户以任何数字或可观察的形式泄露其主密钥。
为了直接应对用户管理助记词的内在弱点，行业正在推进更强大的身份验证方法。比特币基础设施公司 Breez 最近将其 Passkey 登录功能集成到其 SDK 中，允许开发人员构建不依赖传统 12 字词组进行日常访问的自托管钱包。这项基于 FIDO2 WebAuthn 标准的技术，使用设备上的生物识别技术（如面部识别或指纹扫描）来验证用户并派生密钥。私钥永远不会离开设备的受保护硬件，例如 Apple 的安全隔离区（Secure Enclave）或 Android 的 Titan 芯片，从而保护其免受在线威胁。这一转变将安全模型重新构建在熟悉的设备级保护之上，旨在使自主托管对主流用户而言更安全、更易于访问。
