Coinbase, plataforma de intercambio de criptomonedas con más de 100 millones de usuarios, reveló que un grupo de atacantes sobornó a empleados de soporte externos.
Detalles del incidente
Los atacantes obtuvieron información personal de aproximadamente el 1 % de los clientes de Coinbase. Los delincuentes intentaron extorsionar a la compañía exigiendo 20 millones de dólares a cambio de no publicar los datos.
El incidente podría costar a la empresa entre 180 y 400 millones en compensaciones y medidas de contención. El ataque se basó en un riesgo interno, localizando a varios agentes de atención al cliente subcontratados en el extranjero (según las primeras pesquisas, en India).
Metodología del ataque
Los criminales ofrecieron dinero a cambio de credenciales o consultas directas sobre la base de datos de Coinbase. Los atacantes copiaron registros alojados en las herramientas internas de soporte.
Los datos robados incluyen nombre, dirección, teléfono, correo electrónico, los últimos cuatro dígitos del SSN, números de cuenta bancarios parcialmente enmascarados, imágenes de documentos de identidad y un historial resumido de transacciones.
Impacto y medidas tomadas
No se vieron comprometidas las claves privadas, las contraseñas ni los monederos de los clientes. Coinbase despidió a los implicados tras detectar accesos anómalos.
Coinbase notificó a la SEC y rechazó pagar el rescate. La empresa prevé destinar hasta 400 millones de dólares para reembolsar a usuarios que puedan caer en futuras estafas y para reforzar la detección de amenazas internas.
Acciones de mitigación
Coinbase anunció la apertura de un nuevo centro de soporte en EE.UU. Coinbase implantará obligatoriamente 2FA. Coinbase introducirá la función de «withdrawal allow-list» para cuentas con mayor riesgo.