冒充 Coinbase 支持的骗子窃取了超过 200 万美元的加密货币

一名冒充 Coinbase 支持人员的骗子在 2025 年通过策划社会工程学攻击，欺诈了超过 200 万美元的加密货币。

区块链调查员 ZachXBT 利用链上分析和社会媒体证据揭露了被称为 Haby 或 Havard 的加拿大威胁行为者。该骗子使用声称来自客户支持的电话号码拨打Coinbase 用户的电话，然后指示受害者将资金转移到由攻击者控制的钱包。

ZachXBT 通过区块链分析追踪盗窃行为。

调查始于 Haby 于 2024 年 12 月 30 日发布的一张截图，显示从 Coinbase 用户处窃取了价值 44,000 美元的 21,000 XRP。ZachXBT 将钱包地址与另外两起 Coinbase 用户被盗事件联系起来，金额约为 500,000 美元。分析显示，Haby 通过即时交易所将被盗的 XRP 兑换成比特币。

9/ 从他 IG 上截取的其他截图展示了更多的社会工程学盗窃行为。

一篇故事帖子泄露了“来自‘Harvi的MacBook Air’”的信息。

他们聊天中的人甚至建议他不要经常炫耀。pic.twitter.com/YJQlbxTfyK

— ZachXBT (@zachxbt) 12 月29, 2025

通过时间分析，ZachXBT 追踪到了 Haby 的比特币地址。2025 年 2 月，Haby 在群聊中分享了显示包含 237,000 美元钱包的截图。

已识别地址的比特币余额与 2025 年 2 月 1 日的截图相符。从该地址向后追踪发现了另外三起 Coinbase 支持冒充盗窃，总额超过 560,000 美元。

调查员通过社交媒体帖子和屏幕录制中泄露的信息将钱包与 Haby 联系起来。一段泄露的视频显示 Haby 对目标进行社会工程学通话。

屏幕录制暴露了他的电子邮件地址和 Telegram 账户。额外的 Instagram 截图显示了吹嘘社会工程学盗窃的帖子。一个故事帖子在设备信息中揭示了“来自 Harvi 的 MacBook Air”。

骗子操作安全性差

Haby 经常在社交媒体平台上发布故事和自拍，展示其由被盗加密货币资助的生活方式。帖子显示购买了昂贵的 Telegram 用户名、奢侈品、瓶瓶服务以及赌博费用。他聊天组的一名成员建议他不要如此频繁地发布关于其活动的信息。

该骗子似乎对操作安全性毫不在意。社交媒体分析显示他位于不列颠哥伦比亚省温哥华附近的阿博茨福德。对他故事帖子进行的 OSINT 确认了该位置。

Haby 经常购买昂贵的 Telegram 用户名，并在调查发布前两天删除了他最近的账户。以前的账户显示他的别名在各种聊天中，证实了泄露截图的真实性。

Coinbase 支持冒充骗局在2025年升级

2025 年对 Coinbase 用户来说是一段相当具有挑战性的时期。攻击者从传统的网络钓鱼转向使用从 Coinbase 支持系统窃取的数据进行精准 targeting。2025 年 5 月的一次内部数据泄露在全年进行了 highly effective 的冒充骗局。

这涉及网络罪犯贿赂，他们雇佣了位于海外的客户支持人员，主要在印度海得拉巴，以窃取内部数据。泄露的信息包括姓名、电子邮件、电话号码、家庭住址、政府身份证件图像和实时账户余额。

攻击者没有直接访问私钥和密码。总体而言，约 1% 的 Coinbase 用户受到 targeting，涉及约 70,000 名高价值客户。

攻击者要求 2,000 万美元的赎金以删除被盗数据。Coinbase 拒绝了赎金要求，在攻击者身上设立了 2,000 万美元的赏金，并退还了受影响的受害者。

12 月发生了多次逮捕2025

2025 年 12 月，执法活动达到顶峰，发生了多起与 Coinbase 冒充骗局有关的逮捕。纽约布鲁克林的 Ronald Spektor 被指控从约 100 名用户处窃取 1,600 万美元。

他的方法涉及使用窃取的客户数据冒充 Coinbase “Elite Support”，并提醒用户有待处理的未经授权的交易。他指导受害者将资金转移到“安全金库”，这实际上是他控制的钱包。

印度警方于 2025 年 12 月 29 日逮捕了一名前 Coinbase 支持人员，与 5 月的数据盗窃有关。这次逮捕证实了贿赂内部人员的理论，并是针对数据泄露源的首次重大执法行动。