Scammer che si finge supporto Coinbase ruba più di $2M in criptovalute

Uno scammer che si fingeva personale di supporto di Coinbase ha truffato più di $2 milioni in criptovalute durante il 2025 organizzando attacchi di ingegneria sociale.

L'investigatore blockchain ZachXBT ha esposto il minaccioso attore canadese, noto come Haby o Havard, utilizzando l'analisi on-chain e le prove sui social media. Lo scammer ha effettuato chiamate agli utenti di Coinbase con numeri di telefono che si fingevano del servizio clienti, per poi indirizzare le vittime a trasferire fondi a portafogli controllati dagli attaccanti.

ZachXBT traccia il furto tramite analisi blockchain.

Le indagini sono iniziate quando Haby, il 30 dicembre 2024, ha pubblicato uno screenshot che mostrava un furto di 21.000 XRP del valore di $44.000 da un utente di Coinbase. ZachXBT ha abbinato l'indirizzo del portafoglio ad altri due furti a danno di utenti di Coinbase per un totale di circa $500.000. L'analisi ha mostrato che Haby aveva scambiato gli XRP rubati con Bitcoin tramite exchange istantanei.

9/ Screenshot aggiuntivi presi dal suo IG mostrano altri furti tramite ingegneria sociale.

Un post di storia trapelata recita: "Da 'MacBook Air di Harvi'"

Una persona del suo chat lo ha persino consigliato di smettere di fare sfoggio così spesso. pic.twitter.com/YJQlbxTfyK

— ZachXBT (@zachxbt) Dicembre 29, 2025

Attraverso l'analisi temporale, ZachXBT ha rintracciato l'indirizzo Bitcoin di Haby. Nel febbraio 2025, Haby aveva condiviso screenshot in una chat di gruppo che mostravano un portafoglio contenente $237.000.

Il saldo Bitcoin per l'indirizzo identificato corrispondeva agli screenshot del 1° febbraio 2025. Tracciando a ritroso da questo indirizzo sono stati scoperti altri tre furti di impersonificazione del supporto Coinbase per un totale di oltre $560.000.

L'investigatore ha collegato i portafogli a Haby attraverso informazioni trapelate nei post sui social media e nelle registrazioni dello schermo. Un video trapelato ha mostrato Haby mentre conduceva una chiamata di ingegneria sociale con un bersaglio.

La registrazione dello schermo ha esposto l'indirizzo email e il suo account Telegram. Screenshot aggiuntivi di Instagram mostravano post che vantavano furti tramite ingegneria sociale. Un post della storia ha rivelato “Da MacBook Air di Harvi” nelle informazioni del dispositivo.

Lo scammer ha operato con scarsa sicurezza operativa

Haby pubblicava regolarmente storie e selfie sulle piattaforme social che mostravano il suo stile di vita finanziato da criptovalute rubate. I post mostravano l'acquisto di nomi utente Telegram costosi, articoli di lusso, servizio alle bottiglie e spese di gioco d'azzardo. Un membro del suo gruppo chat lo ha consigliato di smettere di pubblicare sulle sue attività così frequentemente.

Lo scammer sembrava avere poca preoccupazione per la sicurezza operativa. L'analisi dei social media ha rivelato la sua posizione ad Abbotsford, vicino a Vancouver, Columbia Britannica. L'OSINT eseguito sui suoi post della storia ha confermato la posizione.

Haby acquistava frequentemente nomi utente Telegram costosi ed eliminava il suo account più recente due giorni prima della pubblicazione dell'indagine. Gli account precedenti mostravano il suo alias in varie chat, confermando l'autenticità degli screenshot trapelati.

Gli scam di impersonificazione del supporto Coinbase sono aumentati in 2025

Il periodo 2025 è stato un momento piuttosto difficile per gli utenti di Coinbase. Gli attaccanti sono passati dal phishing tradizionale al targeting di precisione utilizzando dati rubati dai sistemi di supporto di Coinbase. Una violazione dei dati interni a maggio 2025 ha portato a scam di impersonificazione altamente efficaci per tutto l'anno.

Ha coinvolto tangenti da parte di criminali informatici che hanno assunto agenti del servizio clienti all'estero, principalmente a Hyderabad, in India, per rubare dati interni. Le informazioni compromesse includono nomi, email, numeri di telefono, indirizzi di casa, immagini di documenti di identità e saldi dei conti in tempo reale.

Gli attaccanti non hanno accesso diretto alle chiavi private e alle password. Nel complesso, circa l'1% degli utenti di Coinbase è stato preso di mira, ammontando a circa 70.000 clienti di alto valore.

Gli attaccanti hanno richiesto un riscatto di $20 milioni in cambio della cancellazione dei dati rubati. Coinbase ha rifiutato la richiesta di riscatto, ha istituito una taglia di $20 milioni sugli attaccanti e ha rimborsato le vittime interessate.

Diversi arresti sono avvenuti a dicembre 2025

L'attività delle forze dell'ordine ha raggiunto il picco a dicembre 2025 con diversi arresti legati agli scam di impersonificazione di Coinbase. Ronald Spektor di Brooklyn, New York, è stato accusato di aver rubato $16 milioni a circa 100 utenti.

La sua metodologia prevedeva l'uso di dati dei clienti rubati per fingere di essere il “Supporto Elite” di Coinbase e avvisare gli utenti di transazioni non autorizzate in sospeso. Ha guidato le vittime a trasferire i fondi in una “cassaforte sicura” che era in realtà un portafoglio da lui controllato.

La polizia indiana ha arrestato un ex agente del supporto di Coinbase il 29 dicembre 2025, collegato al furto di dati di maggio. L'arresto ha confermato la teoria dell'insider corrotto ed è stata la prima importante azione delle forze dell'ordine contro la fonte della violazione dei dati.