코인베이스 해킹과 태스크유스(TaskUs) 직원 연관성, 새로운 혐의 부상

새로운 법원 제출 서류들은 5월에 발견된 코인베이스의 데이터 유출 사건에 대한 빛을 비췄다. 제출 서류에 따르면 태스크유스 직원인 아시타 미슈라(Ashita Mishra)가 기밀 고객 정보 도난을 계획하고 이를 피싱 사기에 사용한 범죄자들에게 유출하는 데 도움을 준 것으로 나타났다.

Coinbase 공개했다 5월 유출로 최소 69,000명의 고객에게 영향을 미쳤으며, 피해 규모는 약 4억 달러로 추정된다. 거래소는 초기에 이 유출을 인도 기반 벤더의 rogue 직원과 연관 지었다. 수정된 법원 제출 서류는 미슈라가 태스크유스 서비스 센터 직원으로서 2024년 9월부터 정보를 훔쳤다고 명시한다.  

태스크유스 직원이 고객 데이터를 판매한 혐의

최신 소송은 인도의 인도르에 위치한 태스크유스 직원인 아시타 미슈라가 사회보장번호와 은행 세부 정보 등 기밀 고객 데이터를 피싱 해커 그룹에 판매했다고 주장한다. 그녀는 또한 허브 앤 스포크(hub-and-spoke) 방식으로 유출을 수행하기 위해 다른 태스크유스 직원들을 모집했다. 조사관들은 미슈라의 휴대폰에서 10,000개 이상의 코인베이스 고객 데이터 포인트를 발견했다. 미슈라는 기록당 200달러를 받았으며, 최대 200명의 고객 데이터를 캡처한 것으로 알려졌다. 

유출을 저지른 해커 그룹은 ‘더 코뮌(The Comm)’이라는 느슨한 그룹과 연관되어 있었으며, 이들은 훔친 데이터를 사용하여 코인베이스 직원을 사칭하고 고객들을 속여 암호화폐를 빼앗았다. 최신 ⟦N1⟧ 기술 연구의에 따르면, 유출은 5월에 공개되었다. 청원자들은 태스크유스가 1월 226명의 직원 해고와 내부 HR 팀 해고를 포함하여 침해 범위를 숨기기 위해 추가 조치를 취했다고 주장했다.

태스크유스는 2월 10-K 양식에서 유출을 축소하여 규제 기관을 기만했다는 혐의를 받고 있다 제출 서류 이 제출 서류는 outsourcer가 이후 유출과 관련된 수백 명의 직원을 해고했음에도 불구하고 중요한 사건을 공개하지 않았다. 인도 벤더는 블랙스톤(Blackstone)과의 16억 달러 인수 협상을 추진하는 동안에도 규제 기관에게 중요한 유출이 없다고 계속 확신시켰다. 

코인베이스는 벤더와 거리를 두었다. 코인베이스는 즉시 규제 기관과 영향받은 고객들에게 통지하고, 영향받은 계좌를 보상하며, 내부 통제를 강화하고 태스크유스와의 파트너십을 종료했다. 코인베이스 대변인의 성명에 따르면, 거래소는 범죄자들에게 지불하는 것을 거부하고 대신 체포와 유죄 판결로 이어지는 정보에 대해 2,000만 달러의 보상을 제공했다.

코인베이스, 벤더의 조치가 시스템적이라고 주장

텍사스에 본사를 둔 태스크유스는 아직 혐의에 대해 응답하지 않았지만, 이전에 재확인했습니다. 고객 데이터 보호에 대한 자신의 약속을 확인하고 보안 프로토콜을 강화했다고 밝혔다. 코인베이스는 태스크유스의 조치가 고립된 것이 아니라 시스템적이라고 주장하며, 부당한 관행을 다루는 연방거래위원회(FTC)법 제5조를 위반했다고 지적했다.

규제 기관은 태스크유스가 암호화나 다중 인증과 같은 충분한 보호 방법을 사용했는지 평가하기 위해 다음 단계를 밟을 것으로 예상된다. 또한 위험을 피할 수 있었는지, 그리고 유출이 고객들을 신원 도용이나 금전적 손실에 노출시켰는지 평가할 것이다. 반면 코인베이스는 영향받은 고객들로부터 여러 소송을 받았으나, 지금까지는 주장을 통합하고 사건을 중재로 이동하려고 노력해 왔다. 

크립토폴리탄 6월 DFS가 기존 안전 장치를 유지하면서 GENIUS ACT와 일치하는 새로운 스테이블코인 규제를 제안했다고 보도했습니다. 여기에는 완전한 준비금 backing과 독립적인 감사 포함됩니다. 5월 바이낸스(Binance)와 크레이켄(Kraken)도 코인베이스와 유사한 소셜 엔지니어링 공격에 연루되었을 수 있다고 보고했다. 보고서는 해커들이 바이낸스 직원들을 뇌물 공세를 통해 기밀 정보를 훔치려 했으며, 조정하기 위해 텔레그램 연락처를 공유했다고 밝혔다.

바이낸스는 AI 기반 모니터링을 활용하여 대화를 식별하고 차단했으며, 검증된 고객-initiated 통화의 사용자 데이터 접근을 제한했다. 크레이켄은 자체적으로 혐의를 부인하며, 유출 전에 이미 코인베이스에 의심스러운 활동을 경고했다고 말했다.