Fuite de données de Coinbase : l’exchange aurait attendu des mois avant de divulguer l’incident

Le contexte pour ChatGPT : Le 15 mai 2025, Coinbase a annoncé avoir reçu une demande de rançon en Bitcoin de la part de cybercriminels qui aurait réussi à se procurer des données des utilisateurs de la plateforme par le biais de sous-traitants internes.

Les utilisateurs de Coinbase se sont mobilisés lorsque des rapports ont suggéré que le risque était connu plusieurs mois avant que l’entreprise ne divulgue l’incident.

Une fuite de données qui daterait de plusieurs mois déjà

La fuite interne , qui aurait affecté « moins de 1 % » des utilisateurs actifs mensuels de Coinbase, a déclenché une indignation généralisée au sein de la communauté crypto. Des utilisateurs rapportent notamment être ciblés par des arnaques sophistiquées de phishing et d’usurpation d’identité .

Parmi ces utilisateurs, QwQiao, qui travaille dans l’équipe de support client chez Alliance DAO, a expliqué avoir réussi de justesse à déjouer les plans des escrocs.

« […] Je les ai confrontés à la fin de l’appel en leur disant qu’ils devaient améliorer leurs tactiques parce que cette arnaque est ridicule. Ils m’ont dit qu’ils avaient gagné 7 millions de dollars ce jour-là », a-t-il déclaré .

Adam Cochran, une figure renommée sur X (Twitter), a vivement critiqué l’incapacité de Coinbase à protéger des données cruciales comme les pièces d’identité gouvernementales et les adresses physiques des utilisateurs. Il affirme que cette lacune présente des risques qui dépassent largement la perte financière.

« La divulgation de Coinbase se concentre ici sur les fonds volés, mais c’est en fait hors sujet […] Aucun élément de la politique KYC/AML n’exige que ce type d’informations soit accessible à vos agents de support client. Je ne veux pas entendre parler de ce que Coinbase fait pour récupérer des fonds ; je veux savoir ce qu’ils font pour mieux gérer les données privées » a-t-il exprimé .

Cette vague d’indignation fait suite à des allégations selon lesquelles la fuite de données aurait eu lieu au mois de janvier. Les utilisateurs et les analystes affirment que le supposé silence de Coinbase a contribué à la vulnérabilité des utilisateurs des mois durant.

« Coinbase savait que les données de ses utilisateurs avaient été volées depuis janvier, mais n’a rien dit jusqu’à maintenant ? Nous avons eu d’innombrables rapports d’utilisateurs de Coinbase volés par des usurpateurs. Maintenant, nous savons pourquoi », a écrit Duo Nine, un analyste très connu sur X.

Selon Duo Nine, ce supposé manquement de Coinbase exposerait même les avoirs institutionnels à un risque accru. Coinbase joue en effet un rôle dominant  sur le marché des ETF crypto au comptant (fonds négociés en bourse). La plateforme fournit des services de garde pour huit des 11 ETF Bitcoin américains et huit des neuf ETF Ethereum .

L’exchange propose également des services d’exécution de transactions et de surveillance du marché. Par ailleurs, ce n’est pas la première fois que sa domination dans les services de garde suscite des inquiétudes quant à sa position en tant que point potentiel de défaillance unique. 

« Il n’est pas de bon augure que presque tous les émetteurs d’ETF crypto aient le même dépositaire pour tous leurs BTC et ETH. Cela fait de Coinbase un point de défaillance potentiel unique, ce qui est effrayant », a récemment déclaré Eleanor Terret.

Au moment de la rédaction de cet article, Coinbase n’a pas répondu à la demande de commentaire de BeInCrypto.

Une fuite de données aux risques imprévisibles et dangereux

En parallèle, beaucoup trouvent cet incident particulièrement troublant du fait que Coinbase n’ait pas été piraté, mais a plutôt subi une faille interne. En effet, des employés de l’équipe de support de la plateforme auraient accédé aux données des clients afin de les vendre sur le marché noir.

Pour certains, cela représente un échec flagrant des contrôles internes de la plateforme. Bob Loukas, un trader de position, a notamment critiqué la plateforme pour son manque de divulgation appropriée.

« Vous savez que vous disposez des données les plus recherchées, et vous avez permis aux agents de support d’y accéder en masse. C’est inacceptable », a déclaré Loukas.

Les implications vont par ailleurs au-delà du vol financier, le fondateur de Rotki, Lefteris Karapetsas, a affirmé que de centraliser les données d’identité réelle aux côtés des soldes crypto est une « bombe à retardement ».

« Coinbase vient de prouver à nouveau pourquoi les “honeypots” de données centralisées sont une bombe à retardement. Le KYC signifie fournir votre identité pour qu’elle soit divulguée, vendue ou extorquée. La combinaison des données exposées ici (adresses réelles, adresses crypto, montants et documents d’identité réels) est fatale », a-t-il déclaré dans un post .

En parallèle, Karapetsas, un expert en protection des données, a rappelé une toute récente tentative d’enlèvement à Paris sur un membre de la famille d’un important acteur de la crypto. Ariel Givner, une avocate d’entreprise spécialisée dans la fintech, a par ailleurs confirmé les craintes du monde réel.

« Cinq personnes m’ont contactée aujourd’hui. Elles s’inquiètent pour leur sécurité et celle de leur famille. Cela peut empirer », a-t-elle écrit .

Des experts en renseignement affirment que l’incident pourrait rejoindre une plus ample vague de vente sur le dark web. Selon des sources en cybersécurité, un acteur malveillant a récemment proposé un lot de 18 millions de données provenant de plateformes crypto américaines.

Parmi celles-ci, on trouvait plus de 432 000 de données d’utilisateurs de Coinbase pour 10 000 dollars, comprenant des noms, des emails, des numéros de téléphone, ou encore des adresses.

Fuite présumée de la base de données crypto américaine avec plus de 18 millions d’enregistrements. Source : Expert en renseignement sur les cybermenaces sur X

Coinbase n’a pas encore répondu publiquement à l’indignation des utilisateurs, mais propose un fonds de récompense de 20 millions de dollars pour toute information menant à l’arrestation et à la condamnation des acteurs malveillants. La plateforme a déclaré avoir contacté toutes les victimes concernées.

« Si vos données ont été consultées, vous avez déjà reçu un email de [email protected] ; toutes les notifications ont été envoyées à 7h20 ET aux clients concernés », a déclaré Coinbase Support sur X

Morale de l’histoire : quand Coinbase crie au loup, les brebis ont déjà été mangées.