Coinbase kannte den Zusammenhang mit dem Datenleck über 400 Millionen Nutzer bereits im Januar, so Quellen

Laut einer Untersuchung von Reuters wurde Coinbase bereits im Januar 2025 über einen Vorfall informiert, der ausgegliederte Kundenservice-Mitarbeiter in Indien betraf. Sechs Personen, die mit der Angelegenheit vertraut sind, berichteten dem Bericht, dass die Kryptobörse bereits Monate vor der offiziellen Ankündigung im Mai wusste, dass sensible Nutzerdaten über ihren Auftragnehmer TaskUs kompromittiert worden waren.

In einer SEC-Einreichung vom 14. Mai dokumentierte TaskUs einen Teil des Vorfalls, bei dem eine in Indien ansässige Mitarbeiterin von TaskUs dabei erwischt wurde, wie sie Fotos vom Bildschirm des Arbeitscomputers mit ihrem privaten Handy machte. Fünf ehemalige TaskUs-Mitarbeiter bestätigten, dass die Mitarbeiterin und ein mutmaßlicher Komplize angeblich von Hackern bestochen wurden, um Coinbase-Nutzerdaten zu erhalten.

Coinbase wurde sofort alarmiert, drei der Mitarbeiter und eine weitere Quelle sagte. Kurz darauf wurden mehr als 200 Mitarbeiter vom TaskUs-Zentrum in Indore entlassen, was in Indien für mediale Aufmerksamkeit sorgte. Anfangs gab Coinbase „ausländische Support-Mitarbeiter“ die Schuld, schätzt nun aber, dass der Vorfall das Unternehmen bis zu 400 Millionen Dollar kosten könnte.

Hinter den Kulissen: Die Kampagne zur Ausnutzung von Coinbases BPO-Netzwerk

Coinbase arbeitete lange mit TaskUs, einem in Texas ansässigen Outsourcing-Unternehmen, zusammen, um die Arbeitskosten zu senken, indem es die Kundenservice-Aufgaben an Offshore-Teams delegierte. Seit 2017 bearbeiten TaskUs-Agenten Kundenanfragen von Coinbase, oft aus Ländern mit niedrigeren Löhnen. In Indore Indien verdienten diese Agenten reportedly zwischen 500 und 700 Dollar pro Monat, ein Betrag, der niedrig genug war, um kriminelle Bestechungsversuche anzuziehen.

In der Einreichung vom Mai räumte Coinbase ein, dass es den vollen Umfang des Angriffs erst am 11. Mai erfuhr, als es eine Erpressungsforderung in Höhe von 20 Millionen Dollar erhielt. Als Reaktion darauf trennte sich das Unternehmen von den TaskUs-Mitarbeitern, die für den Vorfall verantwortlich waren, sowie von einigen anderen nicht genannten ausländischen Auftragnehmern. Coinbase sagte auch, es habe die Aufsichtsbehörden informiert, betroffene Nutzer erstattet und seine internen Kontrollen verschärft.

In seiner öffentlichen Erklärung räumte TaskUs ein, zwei Mitarbeiter wegen Datendiebstahls entlassen zu haben, nannte jedoch nicht Coinbase. Das Unternehmen sagte, die beiden seien Teil einer koordinierten kriminellen Kampagne gewesen, die auch andere Dienstleister getroffen habe, die mit dem Kunden verbunden sind.

Hacker nutzten Social Engineering, um Coinbase-Nutzer zu täuschen

Coinbases Krypto-Wallets wurden bei dem Angriff nicht direkt kompromittiert. Stattdessen nutzten Hacker die gestohlenen persönlichen Informationen, um sich als Coinbase-Mitarbeiter auszugeben und eine Welle von Social-Engineering-Betrügereien durchzuführen. Sie gaben sich als Support-Mitarbeiter aus und manipulierten Opfer dazu, ihre Krypto-Assets zu verschieben.

Sicherheitsforscher glauben, dass eine lose organisierte Gruppe, bekannt als „the Comm“, den Vorfall orchestrierte. Die Gruppe besteht aus jungen Hackern, die Erfahrung in der Durchführung hochkarätiger Angriffe haben, wobei eines ihrer Ziele Kasinos und Krypto-Unternehmen waren.

Ein Bericht von Fortune stellte ebenfalls fest, dass die Hacker unterschiedliche Rollen für ihre Mitglieder hatten – einige bestechen Insider, um Daten zu stehlen, während andere die Betrügereien ausführten. Soziale Medienplattformen wie Telegram und Discord wurden genutzt, um die Operationen zu koordinieren und die Gewinne aufzuteilen.

Die Täuschungsmanöver waren, wie die Ermittler feststellten, effektiver, da diejenigen, die Coinbase-Kunden ansprachen, fließend Nordamerikanisches Englisch sprachen. Die Betrüger konnten die gestohlenen Informationen nutzen, um glaubwürdig genug zu erscheinen, um die Nutzer dazu zu bringen, ihre Krypto-Assets herauszugeben.

Trotz des Vorfalls baut Coinbase seine Operationen weiter aus. Das Unternehmen wurde kürzlich in den S&P 500 Index aufgenommen und gab kürzlich eine strategische Akquisition bekannt. CEO Brian Armstrong sagte, er plane immer noch, Coinbase zu einer führenden globalen Finanzdienstleistungs-App innerhalb der nächsten 10 Jahre.

Der Angriff auf Coinbase erfolgt inmitten eines starken Wachstums im Bereich Krypto-Hacks die bis 2024 2,2 Milliarden Dollar überschritten haben, so Chainalysis, was die Gefahren des Outsourcings und die zunehmende digitale Raffinesse der Angreifer unterstreicht.