Betrüger gibt sich als Coinbase-Support aus und stiehlt mehr als $2 Mio. an Krypto

Ein Betrüger, der sich als Support-Mitarbeiter von Coinbase ausgab, betrügte im Jahr 2025 mehr als 2 Millionen US-Dollar an Kryptowährungen durch inszenierte Social-Engineering-Angriffe.

Blockchain-Ermittler ZachXBT deckte den kanadischen Bedrohungsakteur auf, bekannt als Haby oder Havard, unter Verwendung von On-Chain-Analysen und Social-Media-Beweisen. Der Betrüger rief Coinbase-Nutzer mit Telefonnummern an, die so taten, als kämen sie vom Kundensupport, und leitete die Opfer dann an, Gelder an von den Angreifern kontrollierte Wallets zu überweisen.

ZachXBT verfolgt den Diebstahl via Blockchain-Analyse.

Die Ermittlungen begannen, als Haby am 30. Dezember 2024 einen Screenshot postete, der einen Diebstahl von 21.000 XRP im Wert von $44.000 von einem Coinbase-Nutzer zeigte. ZachXBT verband die Wallet-Adresse mit zwei weiteren Diebstählen von Coinbase-Nutzern in Höhe von etwa $500.000. Die Analyse zeigte, dass Haby gestohlene XRP über Instant-Austauschbörsen in Bitcoin getauscht hatte.

9/ Zusätzliche Screenshots von seinem IG zeigen weitere Social-Engineering-Diebstähle.

Ein Story-Beitrag wurde geleakt: "Von Harvis MacBook Air"

Eine Person aus ihrem Chat riet ihm sogar, aufzuhören, so oft mit seinem Reichtum zu prahlen. pic.twitter.com/YJQlbxTfyK

— ZachXBT (@zachxbt) Dezember 29, 2025

Durch Timing-Analysen verfolgte ZachXBT Haby’s Bitcoin-Adresse. Im Februar 2025 hatte Haby Screenshots in einem Gruppenchat geteilt, die eine Wallet mit $237.000 zeigten.

Das Bitcoin-Guthaben für die identifizierte Adresse stimmte mit den Screenshots vom 1. Februar 2025 überein. Die Rückverfolgung von dieser Adresse aus ergab drei weitere Coinbase-Support-Identitätsdiebstähle im Gesamtwert von über $560.000.

Der Ermittler verknüpfte die Wallets mit Haby durch geleakte Informationen in Social-Media-Posts und Bildschirmaufzeichnungen. Ein geleaktes Video zeigte Haby bei einem Social-Engineering-Anruf mit einem Ziel.

Die Bildschirmaufzeichnung legte die E-Mail-Adresse und sein Telegramm-Konto offen. Zusätzliche Instagram-Screenshots zeigten Posts, die mit Social-Engineering-Diebstählen prahlten. Ein Story-Post enthüllte „Von Harvi’s MacBook Air“ in den Geräteinformationen.

Betrüger operierte mit schlechter operativer Sicherheit

Haby postete regelmäßig Stories und Selfies auf Social-Media-Plattformen, die seinen Lebensstil zeigten, der von gestohlenen Kryptowährungen finanziert wurde. Die Posts zeigten Käufe von teuren Telegramm-Namen, Luxusartikeln, Bottle-Service und Glücksspielausgaben. Ein Mitglied seiner Chat-Gruppe riet ihm, aufzuhören, so häufig über seine Aktivitäten zu posten.

Der Betrüger schien wenig Bedenken für die operative Sicherheit zu haben. Social-Media-Analysen enthüllten seinen Standort in Abbotsford, in der Nähe von Vancouver, British Columbia. OSINT-Analysen seiner Story-Posts bestätigten den Standort.

Haby kaufte häufig teure Telegramm-Namen und löschte sein neuestes Konto zwei Tage vor der Veröffentlichung der Untersuchung. Vorherige Konten zeigten seinen Alias in verschiedenen Chats, was die Authentizität der geleakten Screenshots bestätigte.

Coinbase-Support-Imitationsbetrug eskalierte in 2025

Die Periode 2025 war eine eher herausfordernde Zeit für Coinbase-Nutzer. Angreifer wechselten von traditionellem Phishing zu präziser Zielsetzung unter Verwendung von Daten, die aus Coinbase-Support-Systemen gestohlen wurden. Ein Insider-Datenleck im Mai 2025 führte das ganze Jahr über überaus effektive Imitationsbetrügereien durch.

Dies beinhaltete Bestechung durch Cyberkriminelle, die ausländische Kundensupport-Mitarbeiter, hauptsächlich in Hyderabad, Indien, einstellten, um interne Daten zu stehlen. Kompromittierte Informationen umfassen Namen, E-Mails, Telefonnummern, Hausadressen, Bilder von Regierungs-IDs und Echtzeit-Kontostände.

Die Angreifer hatten keinen direkten Zugriff auf die privaten Schlüssel und Passwörter. Insgesamt wurden etwa 1 % der Coinbase-Nutzer ins Visier genommen, was etwa 70.000 hochwertigen Kunden entspricht.

Die Angreifer forderten ein Lösegeld von 20 Millionen US-Dollar im Austausch für das Löschen der gestohlenen Daten. Coinbase lehnte die Lösegeldforderung ab, setzte eine Belohnung von 20 Millionen US-Dollar auf die Angreifer aus und erstattete den betroffenen Opfern den Schaden.

Mehrere Festnahmen geschahen im Dezember 2025

Die Aktivitäten der Strafverfolgungsbehörden erreichten im Dezember 2025 mit mehreren Festnahmen im Zusammenhang mit Coinbase-Imitationsbetrug ihren Höhepunkt. Ronald Spektor aus Brooklyn, New York, wurde beschuldigt, $16 Millionen von etwa 100 Nutzern gestohlen zu haben.

Seine Methodik beinhaltete die Verwendung gestohlener Kundendaten, um sich als Coinbase „Elite Support“ auszugeben und die Nutzer über ausstehende unbefugte Transaktionen zu informieren. Er leitete die Opfer an, Gelder in einen „sicheren Tresor“ zu bewegen, der tatsächlich eine Wallet war, die er kontrollierte.

Die indische Polizei verhaftete am 29. Dezember 2025 einen ehemaligen Coinbase-Support-Mitarbeiter, der mit dem Daten Diebstahl im Mai in Verbindung stand. Die Festnahme bestätigte die Theorie der bestochenen Insider und war die erste große Maßnahme der Strafverfolgungsbehörden gegen die Quelle des Datenlecks.