Coinbase fait l'objet d'au moins 6 poursuites judiciaires pour violation de données clients

Coinbase, la plus grande plateforme d'échange de cryptomonnaies aux États-Unis, fait face à au moins six poursuites judiciaires déposées devant des tribunaux fédéraux entre le 13 et le 16 mai 2025. Les plaignants accusent la plateforme de ne pas avoir protégé les données sensibles des utilisateurs et d'avoir enfreint les lois sur la protection des données biométriques.

Cette offensive judiciaire intervient quelques jours seulement après que Coinbase a révélé, jeudi dernier, que des cybercriminels avaient accédé à ses systèmes internes en corrompant plusieurs de ses agents du service client. La faille de sécurité, qui aurait eu lieu le 11 mai, a compromis les données de milliers d'utilisateurs, et les pirates exigent désormais une rançon de 20 millions de dollars.

Selon Coinbase, les données volées comprennent les noms, adresses, numéros de téléphone, adresses e-mail, les quatre derniers chiffres des numéros de sécurité sociale, les coordonnées bancaires, les permis de conduire, les passeports et les informations relatives aux comptes telles que les instantanés de solde et l'historique des transactions. 

L'entreprise a déclaré que la faille de sécurité avait touché moins de 1 % de ses 8 millions d'utilisateurs effectuant des transactions mensuelles, ce qui équivaudrait à moins de 80 000 personnes.

Plusieurs poursuites judiciaires ont été intentées avant l'inscription au S&P 500

L'une des plaintes, déposée devant un tribunal fédéral de New York par le plaignant Paul Bender le 16 mai, allègue que Coinbase n'a pas mis en œuvre et maintenu des protocoles de sécurité adéquats, ce qui a exposé les utilisateurs à des « risques graves et permanents » 

La plainte reproche également à la bourse d'avoir mal géré les conséquences de la violation, qualifiant sa réponse d'« inadéquate, fragmentée et tardive ».

«Les utilisateurs n'ont pas été informés rapidement ni pleinement de la compromission. Coinbase n'a pas immédiatement pris de mesures concrètes pour limiter les dommages, fournirdentou offrir des conseils pratiques aux personnes concernées», indique la plainte.

La plainte de Bender affirmait que les données divulguées exposaient les utilisateurs à des risques d'usurpation d'dentet de fraude financière et pouvaient causer des dommages irréparables, étant donné que les informations personnelles ne peuvent être sécurisées une fois qu'elles ont été exposées.

Coinbase a fait l'objet de deux nouvelles plaintes, également déposées à New York sur la base des mêmes griefs, tandis qu'une quatrième plainte, élargissant le cadre de la première, y inclut l'enrichissement sans cause. Cette dernière allègue que Coinbase n'a pas investi suffisamment dans l'infrastructure de sécurité des données et qu'elle tire profit de la sécurité des utilisateurs. 

Des utilisateurs de l'Illinois intentent un recours collectif suite à une violation de la loi sur les données biométriques

Par ailleurs, Coinbase fait face à une action collective intentée le 13 mai devant un tribunal fédéral de l'Illinois. Les plaignants, Scott Bernstein, Gina Greeder et James Lonergan, affirment quedentenfreint la loi de l'État sur la protection des données biométriques (BIPA). 

Selon la plainte, Coinbase exige que les utilisateurs vérifient leurdenten téléchargeant une pièce d'identité officielle et un selfie. Ces informations sont ensuite traitées à l'aide d'un logiciel de reconnaissance faciale afin d'tracdesdentbiométriques. 

Les plaignants ont affirmé que Coinbase n'avait pas correctement informé les utilisateurs de cette collecte de données, ni indiqué combien de temps les données seraient conservées ou comment elles seraient détruites.

Coinbase réagit à la violation de données et au sabotage interne

Dans un article de blog publié le jour même de la divulgation de la violation, Coinbase a déclaré avoir refusé de payer la rançon de 20 millions de dollars et avoir plutôt lancé un fonds de récompense de 20 millions de dollars pour toute information menant à l'identificationdentà l'arrestation des responsables de l'attaque. 

Le responsable de la sécurité de Coinbase, Philip Martin, a confirmé que les agents du service client dont les comptes ont été compromis étaient basés en Inde et ont depuis été licenciés. Dans une récente interview, M. Martin a insisté sur le fait que l'entreprise collabore avec les forces de l'ordre et ses partenaires du secteur afin de porter plainte contre les responsables, notamment un « petit groupe d'employés »

«C’est embêtant, mais quand on voit un problème comme celui-ci, on veut l’assumer et le régler», a-t-il estimé.

L'entreprise a estimé que le coût du traitement de la faille de sécurité et de l'indemnisation des clients concernés pourrait varier entre 180 et 400 millions de dollars.

Parallèlement, Coinbase fait l'objet d' une enquête de la Securities and Exchange Commission (SEC) américaine pour avoir « présenté de manière erronée » les indicateurs d'utilisation dans des communications antérieures.