Golpista se passando por suporte da Coinbase rouba mais de US$ 2M em cripto

Um golpista se passando por pessoal de suporte da Coinbase defraudou mais de US$ 2 milhões em criptomoedas durante 2025, realizando ataques de engenharia social.

O investigador blockchain ZachXBT expôs o ator de ameaça canadense, conhecido como Haby ou Havard, usando análise on-chain e evidências de mídia social. O golpista fez chamadas para usuários da Coinbase com números de telefone alegando ser do suporte ao cliente, e então direcionou as vítimas a transferir fundos para carteiras controladas pelos atacantes.

ZachXBT rastreia o roubo por meio de análise blockchain.

As investigações começaram quando Haby, em 30 de dezembro de 2024, postou uma captura de tela mostrando um roubo de 21.000 XRP valendo US$ 44.000 de um usuário da Coinbase. ZachXBT combinou o endereço da carteira com dois roubos adicionais de usuários da Coinbase totalizando aproximadamente US$ 500.000. A análise mostrou que Haby havia trocado o XRP roubado por Bitcoin através de exchanges instantâneas.

9/ Capturas de tela adicionais tiradas de seu IG mostram mais roubos de engenharia social.

Uma postagem vazou "De 'Harvi’s MacBook Air'"

Uma pessoa do chat até o aconselhou a parar de se exibir com tanta frequência. pic.twitter.com/YJQlbxTfyK

— ZachXBT (@zachxbt) 30 de dezembro de 29, 2025

Através da análise de tempo, ZachXBT rastreou o endereço Bitcoin de Haby. Em fevereiro de 2025, Haby havia compartilhado capturas de tela em um chat de grupo mostrando uma carteira contendo US$ 237.000.

O saldo de Bitcoin do endereço identificado correspondia às capturas de tela de 1º de fevereiro de 2025. Rastreando para trás a partir deste endereço, foram descobertos três roubos adicionais de suporte da Coinbase por suplantation totalizando mais de US$ 560.000.

O investigador vinculou as carteiras a Haby por meio de informações vazadas em posts de mídia social e gravações de tela. Um vídeo vazado mostrou Haby conduzindo uma chamada de engenharia social com um alvo.

A gravação de tela expôs o endereço de e-mail e sua conta do Telegram. Capturas de tela adicionais do Instagram exibiram posts se gabando de roubos de engenharia social. Um story post revelou "De MacBook Air de Harvi" nas informações do dispositivo.

Golpista operou com segurança operacional precária

Haby postava regularmente stories e selfies em plataformas de mídia social exibindo seu estilo de vida financiado por criptomoedas roubadas. Os posts mostravam compras de nomes de usuário caros do Telegram, itens de luxo, serviço de garrafas e despesas de jogo. Um membro de seu grupo de chat o aconselhou a parar de postar sobre suas atividades com tanta frequência.

O golpista parecia ter pouca preocupação com a segurança operacional. A análise de mídia social revelou sua localização em Abbotsford, perto de Vancouver, Colúmbia Britânica. A OSINT realizada em seus posts de story confirmou a localização.

Haby frequentemente comprava nomes de usuário caros do Telegram e deletou sua conta mais recente dois dias antes da publicação da investigação. Contas anteriores mostravam seu alias em vários chats, confirmando a autenticidade das capturas de tela vazadas.

Golpes de suplantation de suporte da Coinbase escalaram em 2025

O período de 2025 foi um momento bastante desafiador para os usuários da Coinbase. Os atacantes migraram do phishing tradicional para o direcionamento de precisão usando dados roubados dos sistemas de suporte da Coinbase. Uma violação de dados interna em maio de 2025 realizou golpes de suplantation altamente eficazes ao longo do ano.

Envolveu suborno por cibercriminosos que contrataram agentes de suporte ao cliente no exterior, principalmente em Hyderabad, Índia, para roubar dados internos. As informações comprometidas incluem nomes, e-mails, números de telefone, endereços residenciais, imagens de documentos de identificação governamentais e saldos de contas em tempo real.

Os atacantes não acessaram as chaves privadas e senhas diretamente. No geral, cerca de 1% dos usuários da Coinbase foram alvo, totalizando aproximadamente 70.000 clientes de alto valor.

Os atacantes exigiram um resgate de US$ 20 milhões em troca da exclusão dos dados roubados. A Coinbase recusou a demanda de resgate, ofereceu uma recompensa de US$ 20 milhões pelos atacantes e reembolsou as vítimas afetadas.

Várias prisões ocorreram em dezembro 2025

A atividade policial atingiu o pico em dezembro de 2025 com várias prisões relacionadas a golpes de suplantação de identidade da Coinbase. Ronald Spektor, de Brooklyn, Nova York, foi acusado de roubar US$ 16 milhões de aproximadamente 100 usuários.

Sua metodologia envolvia o uso de dados de clientes roubados para se passar pelo “Suporte Elite” da Coinbase e alertar os usuários sobre transações não autorizadas pendentes. Ele orientou as vítimas a moverem fundos para um “cofre seguro” que, na verdade, era uma carteira controlada por ele.

A polícia indiana prendeu um ex-agente de suporte da Coinbase em 29 de dezembro de 2025, conectado ao roubo de dados de maio. A prisão confirmou a teoria do insider subornado e foi a primeira grande ação policial contra a fonte do vazamento de dados.