Coinbase、2024年12月のデータ窃盗事件で6万9,461人のユーザーが影響を受けたことを明らかに

米国最大の暗号資産取引所であるCoinbase Global Inc.は、2024年12月のデータ侵害により、6万9,461人のユーザーの機密個人情報が漏洩したことを明らかにしました。 

同社は、攻撃の規模を 提出 火曜日にメイン州司法長官事務所への提出書類で開示しました。これは、サイバー犯罪者が盗まれたデータをダークウェブで公開しないよう2,000万ドルの身代金を要求したことを確認してから数週間後でした。

このハッキングは同社のグローバルユーザーベースの1%未満に影響を与えたと報告されていますが、同社が攻撃への対応をどのように行ったかについて、複数の連邦調査と複数の訴訟を引き起こしました。

賄賂とソーシャルエンジニアリングによる侵害

会社および事情に詳しい人々によると、攻撃者はソーシャルエンジニアリングの手法を使用してCoinbaseの内部システムに侵入しました。加害者は、技術的な脆弱性を悪用するのではなく、暗号資産取引所で働く人々、特に米国以外で働くカスタマーサービスエージェントを対象としました。

Coinbaseは、インドに拠点を置く担当者らが、内部ツールや顧客情報へのアクセスと引き換えに現金で賄賂を受け取ったと主張しています。 侵害されたデータ には、氏名、住所、国籍、政府発行のID番号、生年月日、銀行情報が含まれています。 

攻撃者はまた、アカウント作成日、ユーザー残高、その他の本人確認（KYC） 詳細情報にもアクセスしました。Coinbaseは、パスワード、秘密鍵、ユーザー資金は影響を受けていないことを確認しましたが、サイバーセキュリティの探偵たちやユーザーは、この情報がなりすましや身元盗用に使用される可能性を懸念しています。

身代金の要求の拒否と規制当局の対応

Coinbaseは、データが最初に窃取された2024年12月26日の数ヶ月後、5月11日に匿名のメールで最初の身代金の要求を受け取ったと報告しました。犯罪者は、会社が2,000万ドルを支払わない限り、盗まれた情報をダークウェブで公開すると脅迫しました。

公開提出書類において、Coinbaseは、攻撃者が身代金の要求の前に数ヶ月にわたり、海外拠点のサポートエージェントを悪用してユーザーデータの収集を開始していたことを明らかにしました。侵害に関与したすべての人員はその後解雇されました。

ワシントンD.C.の当局者は、米国司法省が開始した刑事捜査の一環として、ハッキング事件を調査中です。Coinbaseは、国内外のすべての関連する法執行当局と完全に協力する姿勢を維持しています。

開示の遅延に対する批判 

火曜日、米国の投資家でありTechCrunchの創設者であるMichael Arringtonは、同社の一般への情報提供の遅れを非難しました。ソーシャルメディアプラットフォームXで、Arringtonはフォロワーに対し、このような個人データの漏洩に続く人的コストは「苦しみで換算される」と語りました。

“すでに害を与えている可能性があります」とArringtonは説明しました。「人的コストは、会社が人々に補償するために実際に費やすと考える4億ドルほどよりもはるかに大きいです.”

Arringtonは、この事件を利用して既存のKYC規制を批判し、それらが非効果的かつ危険であると主張しました。彼は、これらの法律が企業のコスト削減やデータ侵害に対する寛容な罰則と組み合わさることで、悪用が起きやすい状況を作り出すと論じました。

「政府と企業の両方が、これを止めるために力を合わせる必要があります。コストは人間の苦難としてのみ測定できます」と彼は結論付けました。

私は@coinbaseの長年の投資家であり、支持者です。しかし、言わなければならないことがあります——このハッキング（住所と口座残高が含まれる）により、人々が死亡することになるでしょう。おそらく、すでにそうなりつつあります。苦しみで換算された人的コストは、4億ドルという額よりもはるかに大きいです… pic.twitter.com/ruSYKAGH7x

— Michael Arrington 🏴‍☠️ (@arrington) 5月 19日、 2025

Coinbaseは、侵害による総財務上のリスクが、顧客への補償と是正措置を含め、1億8,000万ドルから4億ドルの間になると推定しています。

マイク・デュダス、Web3ベンチャー企業6MVのマネージングパートナーは、自分がハッカーによって標的にされた個人の中に入る可能性があると考えています。「これは大規模な侵害であり、共有された個人情報の量は桁外れです」とDudasは記者団に語りました。彼は、影響が身元盗用を超えて及ぶ可能性を繰り返し強調し、ハッカーが暗号資産投資家や経営者を脅迫することを選ぶかもしれないと述べました。