Coinbase : les données de 70 000 utilisateurs sont dans la nature après le hack

Après avoir révélé une fuite massive de données, la plateforme crypto Coinbase doit désormais en subir les conséquences

L’affaire, révélée mi-mai 2025, découle d'un acte de corruption avec une fuite de données affectant près de 70 000 utilisateurs.

Une affaire de corruption

Le 26 décembre 2024, des agents du support client de Coinbase, pour la plupart basés à l’étranger, ont été approchés et corrompus par des cybercriminels via des applications de messagerie telles que Telegram. Ces collaborateurs ont fini par transmettre à ces tiers non autorisés des informations sensibles. Dans un rapport envoyé à la SEC, Coinbase précise qu'il s'agit des noms, des adresses, des numéros de téléphone, des adresses e-mail, et des derniers chiffres des numéros de sécurité sociale. On y retrouve aussi des identifiants bancaires partiels, ainsi que des copies de pièces d’identité et des données de compte (soldes, historiques de transactions).

Cette compromission n’a été détectée que le 11 mai 2025, soit près de cinq mois après le début de l’exfiltration des données. Dès la découverte, Coinbase a licencié les agents impliqués et alerté les autorités compétentes. L'entreprise explique avoir refusé de céder à une tentative d’extorsion de 20 millions de dollars formulée par les attaquants.

Les investigations ont confirmé que les clés privées, mots de passe et fonds des utilisateurs n’ont pas été compromis. Il n'en reste pas moins que la quantité et la nature des données exposées permettront très probablement de mettre au point des attaques de phishing ciblées et des tentatives d’usurpation d’identité.

Près de 70 000 utilisateurs concernés

Selon The Register Coinbase a contacté les 69 461 clients concernés - ce qui représente bien moins de 1% des 110 millions d'utilisateurs de la plateforme au total. L'entreprise leur a fourni un an de surveillance de crédit et d’assurance contre le vol d’identité, ainsi que le lancement d’un plan de compensation pouvant atteindre 400 millions de dollars pour couvrir les pertes liées à des escroqueries secondaires.

Coinbase a également promis une récompense de 20 millions de dollars pour toute information menant à l’arrestation des responsables, tout en coopérant avec les forces de l’ordre internationales.

Il n'en reste pas moins que les victimes déplorent la gestion du timing et la transparence de l'entreprise. Plusieurs plaintes collectives ont été déposées aux États-Unis. Les plaignants reprochent un manque de réactivité, des mesures de sécurité jugées insuffisantes et une communication tardive ayant potentiellement aggravé les risques pour les victimes.