Coinbase confrontée à au moins 6 poursuites judiciaires pour des violations de données clients

Coinbase, la plus grande bourse de cryptomonnaies aux États-Unis, fait face à au moins six poursuites judiciaires déposées devant les tribunaux fédéraux entre le 13 et le 16 mai 2025, les plaignants accusant la bourse de ne pas avoir protégé les données sensibles des utilisateurs et d'avoir violé les lois sur la confidentialité biométrique.

Cette vague de poursuites judiciaires survient quelques jours après que Coinbase a révélé a annoncé jeudi dernier que des cybercriminels avaient accédé aux systèmes internes en corrompant plusieurs de ses agents du service client. La violation, qui s'est produite le 11 mai selon les rapports, a compromis les données de milliers d'utilisateurs, et les attaquants exigent maintenant une rançon de 20 millions de dollars.

Selon Coinbase, les données volées comprennent les noms, adresses, numéros de téléphone, adresses e-mail, les quatre derniers chiffres des numéros de sécurité sociale, les détails des comptes bancaires, les permis de conduire, les passeports et les informations liées au compte telles que les instantanés de solde et l'historique des transactions. 

L'entreprise a déclaré que la violation a affecté moins de 1 % de ses 8 millions d'utilisateurs effectuant des transactions mensuellement, ce qui équivaut à moins de 80 000 personnes.

Plusieurs poursuites judiciaires avant l'inscription sur l'indice S&P 500

L'une des poursuites, déposée devant un tribunal fédéral de New York par le plaignant Paul Bender le 16 mai, allègue que Coinbase n'a pas mis en œuvre et maintenu des protocoles de sécurité adéquats, exposant les utilisateurs à des « risques graves et persistants ». 

Le plainte accuse également la bourse d'avoir mal géré les conséquences de la violation, qualifiant sa réponse d'« inadéquate, fragmentée et retardée ».

“Les utilisateurs n'ont pas été informés promptement ou entièrement de la compromission. Coinbase n'a pas pris immédiatement des mesures significatives pour atténuer les dommages supplémentaires, fournir des services de protection de l'identité ou offrir des conseils exploitables aux personnes concernées,« lit-on dans la plainte ».

La poursuite de Bender a affirmé que les données divulguées laissent les utilisateurs vulnérables au vol d'identité et à la fraude financière et peuvent causer des dommages irréparables, étant donné que les informations personnelles ne peuvent pas être sécurisées une fois qu'elles ont été exposées.

Coinbase a été confrontée à deux poursuites judiciaires supplémentaires, également déposées à New York sur la base des mêmes plaintes, tandis qu'un quatrième cas développe le cas initial pour inclure l'enrichissement sans cause. Cette poursuite affirme que Coinbase n'a pas investi « suffisamment » dans l'infrastructure de sécurité des données et tire profit au détriment de la sécurité des utilisateurs. 

Les utilisateurs de l'Illinois déposent une action collective pour violation de la loi sur les données biométriques

Sur un autre front juridique, Coinbase fait également face à une action collective déposées déposée le 13 mai devant un tribunal fédéral de l'Illinois. Les plaignants Scott Bernstein, Gina Greeder et James Lonergan soutiennent que le processus de vérification de l'identité de Coinbase viole la loi de l'État sur la confidentialité des informations biométriques (BIPA). 

Selon la poursuite, Coinbase exige que les utilisateurs vérifient leur identité en téléchargeant une pièce d'identité délivrée par le gouvernement et un selfie. Ces informations sont ensuite traitées à l'aide de logiciels de reconnaissance faciale pour extraire des identifiants biométriques. 

Les plaignants ont affirmé que Coinbase n'avait pas correctement informé les utilisateurs de cette collecte, ni divulgué la durée de conservation des données ou la manière dont elles seraient détruites.

Coinbase réagit à la violation et à la sabotage interne

Dans un article de blog publié le même jour que la divulgation de la violation, Coinbase a déclaré qu'elle avait refusé de payer la rançon de 20 millions de dollars et avait plutôt lancé un fonds de récompense de 20 millions de dollars pour toute information conduisant à l'identification et à l'arrestation des responsables de l'attaque. 

Philip Martin, le directeur de la sécurité de Coinbase, a confirmé que les agents du service client compromis étaient basés en Inde et ont depuis été licenciés. Dans une récente interview, Martin a insisté sur le fait que l'entreprise travaille avec les forces de l'ordre et les partenaires de l'industrie pour porter des accusations contre les responsables, y compris un « petit groupe d'insiders ».

“C'est nul, mais quand nous voyons un problème comme celui-ci, nous voulons l'assumer et le corriger», a-t-il estimé.

L'entreprise a estimé que le coût de la gestion de la violation et de l'indemnisation des clients affectés pourrait varier entre 180 millions et 400 millions de dollars.

Pendant ce temps, Coinbase est sous enquête l'investigation de la Securities and Exchange Commission (SEC) des États-Unis pour « avoir trompé » sur les métriques des utilisateurs dans les divulgations précédentes.