Un escroc se faisant passer pour le support de Coinbase vole plus de 2 M$ de crypto

Un escroc se faisant passer pour le personnel du support de Coinbase a fraudé plus de 2 millions de dollars en cryptomonnaies en 2025 en organisant des attaques d'ingénierie sociale.

L'enquêteur blockchain ZachXBT a exposé l'acteur de la menace canadien, connu sous le nom de Haby ou Havard, en utilisant l'analyse on-chain et des preuves sur les réseaux sociaux. L'escroc a passé des appels à utilisateurs de Coinbase avec des numéros de téléphone prétendant provenir du support client, puis a dirigé les victimes vers des portefeuilles contrôlés par les attaquants.

ZachXBT retrace le vol par analyse de la blockchain.

Les enquêtes ont commencé lorsque Haby, le 30 décembre 2024, a publié une capture d'écran montrant un vol de 21 000 XRP d'une valeur de 44 000 $ provenant d'un utilisateur de Coinbase. ZachXBT a associé l'adresse du portefeuille à deux autres vols d'utilisateurs de Coinbase s'élevant à environ 500 000 $. L'analyse a montré que Haby avait échangé les XRP volés contre du Bitcoin via des échanges instantanés.

9/ Des captures d'écran supplémentaires prises depuis son Instagram montrent d'autres vols par ingénierie sociale.

Une publication divulguée « De "MacBook Air de Harvi" »

Une personne de leur chat lui a même conseillé d'arrêter de tant exhiber ses richesses. pic.twitter.com/YJQlbxTfyK

— ZachXBT (@zachxbt) décembre 29, 2025

Grâce à une analyse temporelle, ZachXBT a localisé l'adresse Bitcoin de Haby. En février 2025, Haby avait partagé des captures d'écran dans un groupe de chat montrant un portefeuille contenant 237 000 $.

Le solde Bitcoin de l'adresse identifiée correspondait aux captures d'écran du 1er février 2025. En remontant le fil à partir de cette adresse, trois autres vols d'usurpation du support Coinbase ont été découverts, totalisant plus de 560 000 $.

L'enquêteur a lié les portefeuilles à Haby grâce à des informations divulguées dans des publications sur les réseaux sociaux et des enregistrements d'écran. Une vidéo divulguée montrait Haby effectuant un appel d'ingénierie sociale avec une cible.

L'enregistrement d'écran a exposé l'adresse e-mail et son compte Telegram. Des captures d'écran Instagram supplémentaires ont affiché des publications se vantant de vols par ingénierie sociale. Une story a révélé « De MacBook Air de Harvi » dans les informations de l'appareil.

L'escroc a opéré avec une mauvaise sécurité opérationnelle

Haby publiait régulièrement des stories et des selfies sur les plateformes de réseaux sociaux affichant son mode de vie financé par des cryptomonnaies volées. Les publications montraient l'achat de noms d'utilisateur Telegram coûteux, d'articles de luxe, de services de bouteilles et de dépenses de jeu. Un membre de son groupe de chat lui a conseillé d'arrêter de poster sur ses activités si fréquemment.

L'escroc semblait avoir peu de souci pour la sécurité opérationnelle. L'analyse des réseaux sociaux a révélé son emplacement à Abbotsford, près de Vancouver, en Colombie-Britannique. L'OSINT effectué sur ses stories a confirmé l'emplacement.

Haby achetait fréquemment des noms d'utilisateur Telegram coûteux et a supprimé son compte le plus récent deux jours avant la publication de l'enquête. Les comptes précédents montraient son alias dans divers chats, confirmant l'authenticité des captures d'écran divulguées.

Les arnaques d'usurpation du support Coinbase ont augmenté en 2025

La période 2025 a été une période plutôt difficile pour les utilisateurs de Coinbase. Les attaquants sont passés du phishing traditionnel à une ciblage de précision en utilisant des données volées auprès des systèmes de support de Coinbase. Une violation de données interne en mai 2025 a entraîné des arnaques d'usurpation très efficaces tout au long de l'année.

Cela impliquait des pots-de-vin par des cybercriminels qui ont embauché des agents du support client à l'étranger, principalement à Hyderabad, en Inde, pour voler des données internes. Les informations compromises comprennent des noms, des e-mails, des numéros de téléphone, des adresses domiciliaires, des images de pièces d'identité gouvernementales et des soldes de compte en temps réel.

Les attaquants n'ont pas accès directement aux clés privées et aux mots de passe. Au total, environ 1 % des utilisateurs de Coinbase ont été ciblés, soit environ 70 000 clients à haute valeur.

Les attaquants ont exigé une rançon de 20 millions de dollars en échange de la suppression des données volées. Coinbase a refusé la demande de rançon, a offert une prime de 20 millions de dollars aux attaquants et a remboursé les victimes concernées.

Plusieurs arrestations ont eu lieu en décembre 2025

L'activité des forces de l'ordre a atteint son pic en décembre 2025 avec plusieurs arrestations liées aux arnaques d'usurpation de Coinbase. Ronald Spektor de Brooklyn, New York, a été inculpé pour avoir volé 16 millions de dollars à environ 100 utilisateurs.

Sa méthodologie consistait à utiliser des données clients volées pour se faire passer pour le « Support Élite » de Coinbase et à alerter les utilisateurs sur des transactions non autorisées en attente. Il a guidé les victimes pour déplacer des fonds vers un « coffre-fort sécurisé » qui était en réalité un portefeuille qu'il contrôlait.

La police indienne a arrêté un ancien agent du support de Coinbase le 29 décembre 2025, lié au vol de données de mai. L'arrestation a confirmé la théorie de l'insider corrompu et a été la première action majeure des forces de l'ordre contre la source de la fuite de données.