Conhecimento secreto, divisão repentina: a troca de criptografia enfrenta o calor legal e regulatório para um silêncio de quatro meses sobre uma violação que afeta pelo menos 69.000 clientes.
Coinbase foi alertado já Janeiro de 2025 que os hackers tinham sifacado Dezenas de milhares de registros de clientes de um de seus fornecedores de apoio ao exterior, mas a troca esperou até 14 de maio notificar reguladores e usuários, de acordo com e -mails internos revisados por Reuters e entrevistas com três pessoas informadas sobre o incidente.
A revelação ocorre como moeda de moeda abruptamente encerrou seu relacionamento com a Taskusa empresa de terceirização baseada no Texas cuja Índia A equipe do call center foi supostamente subornada para vazar capturas de tela e arquivos KYC. Pelo menos 69.461 clientes ‘ nomes, endereços, números parciais de seguridade social e históricos de ingressos foram expor. Coinbase alertou os investidores que a violação poderia custar US $ 180 milhões a US $ 400 milhões em correção e reivindicações em potencial.
A Coinbase disse que descobriu evidências de má conduta contratada, moveu-se rapidamente para reduzir o acesso e está aumentando os controles em todos os fornecedores de terceiros.
Taskus confirmou que disparou mais do que 200 funcionários em Indore Após a Coinbase, levantou alarmes em janeiro, mas insistiu que “imediatamente escalou” o problema para seu cliente. Um porta -voz da Taskus disse que a empresa está “cooperando com agências policiais na Índia e nos Estados Unidos”.
Uma lacuna de divulgação de quatro meses
De acordo com a nova regra de incidente cibernética da Comissão de Valores Mobiliários dos EUA, as empresas de capital aberto devem registrar um 8-K dentro de quatro dias úteis após a determinação de um incidente é material. O arquivamento de maio de Coinbase observou “meses anteriores” de atividade não autorizada, mas não especificou o alerta de janeiro.
Essa inação pode ser considerada um caso de livro didático de não conformidade material. A SEC pode pedir confirmação sobre por que o relógio não começou em janeiro.
Uma ação coletiva de valores mobiliários arquivado Segunda -feira, no Distrito Leste da Pensilvânia, alega que a Coinbase “retido informações adversas” que teriam movido o preço das ações. Um processo de negligência separado tem como alvo o Taskus no Tribunal Federal de Manhattan em nome dos usuários afetados.
Os registros do tribunal descrevem um pequeno anel criminoso que pagou agentes de apoio para fotografar as telas da Coinbase com identificadores pessoais visíveis. Em março, o esquema havia aumentado, com credenciais roubadas vendidas em canais de telegrama amarrados a golpes de criptografia de “buttão de porcos”. Sobre 11 de maio, Os hackers, encorajados por seu transporte, enviaram por e -mail a Coinbase exigindo US $ 20 milhões em troca da exclusão dos dados.
Coinbase recusou, em vez disso, oferecendo um Recompensa de US $ 20 milhões Para informações que levam a prisões.
| Data | Evento |
|---|---|
| Dezembro de 2024 | O acesso não autorizado mais antigo começa (registros judiciais) |
| Jan 2025 | Taskus Agent em Indore pego fotografando dados de moeda; Coinbase alertou no mesmo dia; Taskus incêndio> 200 funcionários |
| Março de 2025 | A violação se espalha internamente; Os demandantes dizem que quase 100 mil registros comprometidos |
| 11 de maio de 2025 | Hackers por e -mail coinbase exigindo um resgate de US $ 20 M |
| 14 de maio de 2025 | Os arquivos da Coinbase formam 8-K, admite o abuso de contratantes de “meses anteriores” |
| 15 de maio de 2025 | Postagem pública de blog + US $ 20 M Bounty; Os usuários aprendem sobre violação |
| 21 de maio de 2025 | Maine AG Aviso lista 69.461 vítimas |
| 28 de maio de 2025 | Ação coletiva contra o Taskus (SDNY) |
| 2 de junho de 2025 | A Reuters expõe o conhecimento anterior da Coinbase; Empresa separa os laços de tarefas |
| 3 de junho de 2025 | Volatilidade do estoque e montagem de escrutínio regulatório |
Por que a tarefa é importante
A Taskus, fundada em 2008 e agora avaliada em cerca de US $ 1,5 bilhão, conta com a Meta e DoorDash entre seus clientes. Trocas de cripto 61.400 funcionários em tempo integral. Os consultores de segurança alertam que documentos de identidade sensíveis ao offshoring para ambientes de baixos salários criam a tempestade perfeita para o suborno insider.
Os ataques da camada humana são cada vez mais superando explorações técnicascomo comprar um agente mal pago é muito mais barato do que quebrar a criptografia robusta.
A violação ocorre quando a Coinbase e outras partes interessadas em criptografia fazem uma campanha pública por regras mais leves dos EUA. As trocas rivais Kraken e Gemini, que também usam lojas de terceirização de processos de negócios, agora se apressarão em auditar seus próprios controles de fornecedores, de acordo com pessoas familiarizadas com essas críticas.
Enquanto isso, os clientes de Coinbase afetados continuaram continuando tentativas de phishing e ataques de troca SIM. A empresa ofereceu Dois anos de monitoramento de roubo de identidade mas não se comprometeu a reembolsar nenhuma perda de criptografia a jusante.
O que vem a seguir
- Escrutínio regulatório -A SEC e a Federal Trade Commission podem avaliar possíveis violações de tempo de divulgação.
- Discovery Trove -Os demandantes buscarão atas do conselho datadas de janeiro que podem mostrar que os executivos debateram e depois adiaram a divulgação.
- Shake-up do fornecedor- Os analistas da indústria esperam que os fintechs se diversificam longe dos modelos de suporte de um único provedor e adotem ferramentas de bloqueio de captura de tela.
Para a Coinbase, o incidente ameaça os custos de balanço e sua narrativa como a marca mais compatível em Crypto. A confiança é a única moeda difícil que uma troca tem. Perder, mesmo por quatro meses, pode ser fatal.
