Coinbase connaissait le lien avec la fuite de données de 400M en janvier, selon des sources

Coinbase a été informée dès janvier 2025 d’une violation impliquant des agents de support client externalisés en Inde, selon une enquête de Reuters. Six personnes familiarisées avec l’affaire ont déclaré au rapport que l’échange de crypto-monnaies savait que des données utilisateur sensibles avaient été compromises via son contractant, TaskUs, des mois avant son annonce officielle en mai.

Dans un dépôt SEC du 14 mai, TaskUs a documenté une section de la violation dans laquelle une employée de TaskUs basée en Inde a été prise en train de photographier l’écran de l’ordinateur de travail avec son téléphone personnel. Cinq anciens travailleurs de TaskUs ont confirmé que l’employée et un complice présumé auraient été corrompus par des pirates informatiques pour obtenir les données des utilisateurs de Coinbase.

Coinbase a été immédiatement alerté, trois des employés et une source supplémentaire a déclaré. Peu après, plus de 200 employés ont été renvoyés du centre TaskUs d’Indore, attirant l’attention des médias en Inde. Initialement, Coinbase a blâmé les « agents de support étrangers », mais elle estime désormais que la violation pourrait coûter jusqu’à 400 millions de dollars à l’entreprise.

À l’intérieur de la campagne pour exploiter le réseau BPO de Coinbase

Coinbase avait longtemps collaboré avec TaskUs, une entreprise d’externalisation basée au Texas, pour réduire les coûts de main-d’œuvre en attribuant les tâches de support client à des équipes offshore. Depuis 2017, les agents de TaskUs gèrent les demandes des clients de Coinbase, souvent depuis des pays aux salaires plus bas. À Indore, Inde, ces agents auraient gagné entre 500 et 700 dollars par mois, un montant suffisamment bas pour attirer des pots-de-vin criminels.

Dans le dépôt de mai de l’entreprise, Coinbase a admis qu’elle ne connaissait pas l’ampleur totale de l’attaque jusqu’au 11 mai, date à laquelle elle a reçu une demande d’extorsion de 20 millions de dollars. En réponse, l’entreprise a rompu les liens avec les employés de TaskUs responsables de la violation, ainsi qu’avec certains autres contractants étrangers non nommés. Coinbase a également déclaré qu’elle avait informé les régulateurs, remboursé les utilisateurs affectés et renforcé ses contrôles internes.

Dans sa déclaration publique, TaskUs a reconnu avoir renvoyé deux employés pour vol de données, mais n’a pas nommé Coinbase. L’entreprise a déclaré que ces deux personnes faisaient partie d’une campagne criminelle coordonnée qui avait touché d’autres prestataires de services liés au client.

Les pirates ont utilisé l’ingénierie sociale pour tromper les utilisateurs de Coinbase

Les portefeuilles crypto de Coinbase n’ont pas été directement violés dans l’attaque. Au lieu de cela, les pirates ont utilisé les informations personnelles volées pour se faire passer pour des employés de Coinbase dans une vague d’arnaques par ingénierie sociale. Ils se faisaient passer pour des agents de support, trompant les victimes pour qu’elles déplacent leurs actifs crypto.

Les chercheurs en sécurité croient qu’un groupe faiblement organisé connu sous le nom de « the Comm » a orchestré la violation. Le groupe comprend de jeunes pirates expérimentés dans la conduite d’attaques à haut profil, dont l’une des cibles était des casinos et des entreprises de crypto.

Un rapport de Fortune a également indiqué que les pirates avaient différents rôles pour leurs membres — certains corrompaient des insiders pour voler des données tandis que d’autres exécutaient les arnaques. Des plateformes de médias sociaux telles que Telegram et Discord ont été utilisées pour coordonner les opérations et partager les produits.

Les schémas d’usurpation d’identité, ont noté les enquêteurs, étaient plus efficaces car ceux qui ciblaient les clients de Coinbase parlaient un anglais nord-américain courant. Les escrocs ont pu exploiter les informations volées pour paraître suffisamment crédibles afin d’obtenir que les utilisateurs remettent leur crypto.

Même après la violation, Coinbase intensifie ses opérations. L’entreprise s’est récemment ajoutée à l’indice S&P 500 et a récemment annoncé une acquisition stratégique. Le PDG Brian Armstrong a déclaré qu’il prévoit toujours de faire de Coinbase une application mondiale de services financiers de premier plan au cours des prochaines 10 années.

L'attaque de Coinbase survient dans un contexte de forte croissance des piratages de cryptomonnaies qui ont dépassé les 2,2 milliards de dollars d'ici 2024, selon Chainalysis, soulignant les dangers de la sous-traitance et la sophistication numérique accrue des attaquants.