مصادر تزعم أن شركة Coinbase كانت على علم باختراق البيانات قبل أشهر من الكشف عنه

يُزعم أن أحد المقاولين العاملين لدى Coinbase باع بيانات العملاء إلى قراصنة في يناير، قبل أشهر من كشف بورصة العملات المشفرة عن تسرب بيانات KYC الأخير.

وبحسب تقرير لوكالة رويترز نقلا عن ستة أشخاص مطلعين على الأمر، فإن جزءا واحدا على الأقل من الاختراق شمل موظفا مقره الهند في شركة TaskUs، وهي شركة تابعة لجامعة USu متخصصة في الاستعانة بمصادر خارجية وتتولى دعم Coinbase.

تم القبض على الشخص أثناء قيامه بالتقاط صور لجهاز الكمبيوتر الخاص بالعمل باستخدام هاتف شخصي.

وقال موظفون سابقون في TaskUs إن المقاول، إلى جانب شريك مزعوم، باع بيانات عملاء Coinbase مقابل رشاوى.

تزعم المصادر أن Coinbase تم إخطارها على الفور بعد الحادث، الذي وقع في إندور، الهند، مما يشير إلى أن الشركة كانت لديها معرفة مسبقة بالاختراق قبل وقت طويل من تقديمها للوثائق التنظيمية في 14 مايو.

وقال ثلاثة موظفين سابقين في شركة TaskUs ومصدر آخر إن أكثر من 200 عامل تم فصلهم في عملية تسريح جماعي أعقبت ذلك، على الرغم من تورط اثنين فقط في الاختراق.

وتشير التفاصيل، التي تم الإبلاغ عنها علناً لأول مرة من قبل وكالة رويترز، إلى أن شركة Coinbase ربما كانت على علم بالاختراق قبل وقت طويل من الكشف عنه للجهات التنظيمية في 14 مايو.

وفي ملفها المقدم إلى هيئة الأوراق المالية والبورصات الأمريكية، أكدت شركة Coinbase أن متعاقدين من جهات خارجية تمكنوا من الوصول إلى بيانات حساسة "دون الحاجة إلى العمل" في الأشهر السابقة، لكنها زعمت أنها لم تدرك مدى الاختراق إلا بعد محاولة ابتزاز بقيمة 20 مليون دولار من قبل المتسللين في 11 مايو.

وقالت الشركة إنها اكتشفت بعد ذلك أن الوصول غير المصرح به كان جزءًا من حملة أوسع نطاقًا.

وأكدت شركة كوين بيس لرويترز أنها أنهت منذ ذلك الحين جميع العلاقات مع أفراد TaskUs المتورطين وغيرهم من العملاء في الخارج وشددت من ضوابط الأمن الداخلي.

وفي بيان أصدرته في وقت سابق من هذا العام، اعترفت شركة TaskUs بطرد اثنين من موظفيها وذكرت أن الاختراق كان جزءًا من حملة إجرامية منسقة أوسع نطاقًا تستهدف أحد عملائها، على الرغم من أنها لم تذكر اسم العميل في ذلك الوقت.

وأكد مصدر أن العميل هو بالفعل Coinbase.

حتى الآن، ليس من الواضح ما إذا كان قد تم إجراء أي اعتقالات.

بالنسبة لشركة TaskUs ، هذه ليست المرة الأولى التي تواجه فيها التدقيق بسبب خرق بيانات متعلق بالعملات المشفرة.

في عام 2022، تم تسمية الشركة في دعاوى قضائية متعددة إلى جانب Shopify بسبب خرق عام 2020 الذي شمل Ledger SAS، وهو مزود محفظة الأجهزة.

Coinbase تحت التدقيق القانوني

كشفت شركة Coinbase لأول مرة عن الاختراق في ملفها التنظيمي في مايو/أيار، حيث ذكرت أن مجموعة فرعية من المستخدمين تم الوصول إلى بياناتهم من خلال مقاولين تابعين لجهات خارجية مخترقة.

وفي حين قالت الشركة إنه لم تتم سرقة أي كلمات مرور أو أموال، إلا أنها أكدت أن البيانات الشخصية مثل الأسماء وعناوين البريد الإلكتروني، وفي بعض الحالات، أرقام الضمان الاجتماعي الجزئية ووثائق الهوية، قد تعرضت للخطر.

وأدى الحادث إلى فتح تحقيق جنائي من قبل وزارة العدل الأمريكية، حيث أفادت التقارير أن القسم الجنائي بالوكالة يعمل مع وكالات إنفاذ القانون الدولية لتقييم ما إذا كانت الضوابط الداخلية لشركة Coinbase كافية لمنع مثل هذا الوصول.

وبشكل منفصل، تواجه Coinbase دعاوى قضائية متعددة في الولايات المتحدة، بما في ذلك قضية فيدرالية مرفوعة في مانهاتن تزعم الإهمال من جانب كل من Coinbase وTaskUs.

يزعم المدعون أن الشركات فشلت في تنفيذ الضمانات الكافية، مما سمح للمقاولين المارقين بتسريب بيانات KYC الحساسة.

وتسعى الدعاوى القضائية إلى الحصول على تعويضات للمستخدمين المتضررين، ويزعم البعض أن Coinbase أخرت الكشف العام على الرغم من وجود علم مسبق بالاختراق.

وقد تؤدي المعلومات الجديدة التي نشرتها رويترز والتي تشير إلى إخطار شركة كوين بيس بالحادث في وقت مبكر من شهر يناير/كانون الثاني إلى تعقيد دفاعها القانوني.

ويجوز للمدّعين أن يستشهدوا بهذا الجدول الزمني للقول إن الشركة حجبت معلومات جوهرية عن الجهات التنظيمية والعملاء.

وقد يؤدي ذلك أيضًا إلى تعزيز الادعاءات بأن إشراف Coinbase على شركائها في الاستعانة بمصادر خارجية لم يكن كافيًا، مما يزيد من الضغوط على لجنة الأوراق المالية والبورصات والهيئات التنظيمية الأخرى لمتابعة إجراءات الإنفاذ.