เอกสารของศาลที่เพิ่งเปิดเผยได้ให้ข้อมูลเกี่ยวกับการละเมิดข้อมูลของ Coinbase โดยมีผู้ต้องสงสัยหลักที่ถูกระบุในเหตุการณ์นี้ ซึ่งทางบริษัทได้เปิดเผยว่ามีผลกระทบต่อผู้ใช้งานรายเดือนน้อยกว่า 1% ของทั้งหมด
ตามเอกสารของศาล พนักงานของบริษัทบริการลูกค้าที่ Coinbase จ้างภายนอกชื่อ TaskUs ถูกกล่าวหาว่าขโมยข้อมูลลูกค้าที่สำคัญ ซึ่งรวมถึงหมายเลขประกันสังคม รายละเอียดบัญชีธนาคาร และอื่นๆ
Sponsoredเอกสารศาลเผยแผนวงในเบื้องหลังการละเมิดข้อมูลของ Coinbase
เหตุการณ์นี้ได้รับความสนใจจากสาธารณชนในเดือนพฤษภาคม 2025 ในขณะนั้น Coinbase เปิดเผยว่าผู้โจมตีได้ติดสินบนเจ้าหน้าที่สนับสนุนที่ไม่ซื่อสัตย์เพื่อเข้าถึงข้อมูลผู้ใช้ BeInCrypto รายงานว่าผู้กระทำผิดได้เรียกค่าไถ่เป็นเงิน USD 20 ล้าน
ทางบริษัทปฏิเสธที่จะจ่ายเงินและประกาศรางวัล USD 20 ล้านสำหรับข้อมูลที่สามารถช่วยระบุตัวและดำเนินคดีกับผู้ที่อยู่เบื้องหลังการโจมตี ตอนนี้คำร้องคดีแบบกลุ่มที่แก้ไขแล้วซึ่งยื่นในศาลแขวงสหรัฐสำหรับเขตใต้ของนิวยอร์กได้ติดตามการละเมิดกลับไปยัง TaskUs ซึ่งเป็นบริษัทเอาท์ซอร์สกระบวนการธุรกิจที่ Coinbase ใช้สำหรับการสนับสนุนลูกค้า
ตามข้อมูลจากบุคลากรที่มีความรู้เกี่ยวกับการละเมิดข้อมูล ในปี 2024 ผู้กระทำผิดเริ่มแคมเปญการติดต่อเพื่อเป้าหมายและรับสมัครพนักงาน TaskUs ให้เข้าร่วมการสมรู้ร่วมคิดเพื่อขโมยข้อมูล PII ของผู้ใช้ Coinbase เพื่อให้ผู้กระทำผิดเหล่านั้นสามารถขโมยสินทรัพย์คริปโตเคอร์เรนซีที่ผู้ใช้เหล่านั้นถือครองได้ ตั้งแต่เดือนกันยายน 2024 พนักงาน TaskUs ชื่อ Ashita Mishra ได้เข้าร่วมการสมรู้ร่วมคิดโดยตกลงที่จะขายข้อมูลผู้ใช้ Coinbase ที่มีความสำคัญสูงให้กับผู้กระทำผิดเหล่านั้น ตามเอกสาร
เริ่มตั้งแต่เดือนกันยายน 2024 พนักงาน TaskUs ในอินเดียชื่อ Ashita Mishra ถูกกล่าวหาว่าเริ่มถ่ายภาพบันทึกข้อมูลลูกค้าที่สำคัญ จากนั้น Mishra ขายข้อมูลที่ถูกขโมยให้กับแฮกเกอร์ภายนอกในราคาประมาณ USD 200 ต่อภาพ ขอบเขตของการละเมิดนั้นกว้างขวาง
เมื่อ TaskUs ค้นพบการละเมิดในต้นเดือนมกราคม 2025 โทรศัพท์ของ Mishra เพียงเครื่องเดียวมีข้อมูลของลูกค้า Coinbase กว่า 10,000 ราย บันทึกแสดงว่าเธอถ่ายภาพได้ถึง 200 ภาพในบางวัน
ตามเอกสารที่ยื่น มันเป็นการสมรู้ร่วมคิดที่กว้างขวางซึ่งเกี่ยวข้องกับพนักงาน TaskUs หลายคนที่ส่งข้อมูลที่ถูกขโมยไปยังอาชญากรที่จัดตั้งขึ้น
Sponsoredเอกสารเปิดเผยว่า Ms. Mishra และผู้สมรู้ร่วมคิดดำเนินการในวงเล็กๆ ของพนักงาน TaskUs ที่ไม่เชื่อมโยงกันซึ่งเข้าร่วมในการสมรู้ร่วมคิด
นอกจากนี้ คำร้องยังเน้นว่าถึงแม้จะค้นพบการละเมิดในต้นเดือนมกราคม 2025 และไล่พนักงานประมาณ 300 คนออกจากศูนย์ในอินเดีย TaskUs และ Coinbase ไม่ได้แจ้งลูกค้าทันที ตามข้อความ
ระหว่างเดือนมกราคม 2025 เมื่อพวกเขาทราบถึงการละเมิดข้อมูล และเดือนพฤษภาคม 2025 TaskUs และ Coinbase เปิดเผยใน Form 10-Ks ของพวกเขาว่าพวกเขาไม่ทราบถึงการละเมิดข้อมูลที่มีนัยสำคัญที่ส่งผลกระทบต่อบริษัทของพวกเขา
ในขณะเดียวกัน ผู้ฉ้อโกงใช้รายละเอียดที่ถูกขโมยไป แอบอ้างเป็นตัวแทนของ Coinbase และโน้มน้าวให้เหยื่อโอนสกุลเงินดิจิทัลไปยังวอลเล็ตที่เป็นการหลอกลวง โจทก์หลายรายรายงานว่าการละเมิดนี้ทำให้เงินออมทั้งชีวิตหรือกองทุนเกษียณอายุของพวกเขาหมดไป
อาชญากรใช้แผนการมาตรฐานในการดำเนินการตามแผนของพวกเขา โดยสามารถขโมยเงินได้มากถึง 400 ล้าน USD จากเหยื่อที่ไม่รู้ตัวตามการประเมินของ Coinbase เอง คดีความระบุ
การละเมิดนี้ก่อให้เกิดการวิพากษ์วิจารณ์อย่างกว้างขวางเมื่อ ผู้ใช้รายงานว่าถูกโจมตี ด้วยการฟิชชิงและการแอบอ้าง นอกจากนี้ Coinbase ยังเผชิญกับคดีความ หลังจากราคาหุ้นลดลง ซึ่งส่งผลให้เกิดการสูญเสียอย่างมากต่อผู้ลงทุน
หลังจากเหตุการณ์นี้ Coinbase ได้ยุติความสัมพันธ์กับพนักงาน TaskUs ที่เกี่ยวข้องและดำเนินการควบคุมที่เข้มงวดขึ้น
เราได้แจ้งผู้ใช้และหน่วยงานกำกับดูแลที่ได้รับผลกระทบทันที ชดเชยลูกค้าที่ได้รับผลกระทบ เพิ่มความเข้มงวดในการควบคุมผู้ขายและบุคคลภายใน และยุติความสัมพันธ์กับ TaskUs Coinbase กล่าวกับ Fortune
เพื่อเสริมสร้างการป้องกันให้แข็งแกร่งยิ่งขึ้น Coinbase กล่าวว่ากำลังเข้มงวดนโยบายการทำงานระยะไกล เพื่อลดภัยคุกคามจากบุคคลภายในและป้องกัน การแทรกซึมโดยผู้ปฏิบัติการต่างชาติ รวมถึงผู้กระทำจากเกาหลีเหนือ
การละเมิดของ Coinbase แสดงให้เห็นถึงขนาดของความเสียหายที่ภัยคุกคามจากบุคคลภายในสามารถก่อให้เกิดในอุตสาหกรรมคริปโต แม้จะมีการป้องกันทางเทคนิคขั้นสูง แต่ความเปราะบางของมนุษย์ที่ผู้ให้บริการภายนอกยังคงเป็นความเสี่ยงที่รุนแรง ซึ่งแม้แต่การแลกเปลี่ยนที่ใหญ่ที่สุดในโลกก็ยังพยายามควบคุม
