Coinbase știa despre încălcarea datelor cu luni înainte de dezvăluire, susțin surse

Un contractor care lucra pentru Coinbase ar fi vândut date despre clienți către hackeri în ianuarie, cu câteva luni înainte ca bursa de criptomonede să dezvăluie recenta scurgere de date KYC.

Conform unui raport Reuters care citează șase persoane familiarizate cu situația, cel puțin o parte a breșei de securitate a implicat un angajat din India al TaskUs, o firmă de externalizare USu care se ocupa de asistența Coinbase.

Persoana a fost surprinsă făcând fotografii calculatorului de la serviciu cu un telefon personal.

Foști angajați ai TaskUs au declarat că antreprenorul, împreună cu un presupus complice, a vândut date ale clienților Coinbase în schimbul mitei.

Surse susțin că Coinbase a fost notificată imediat după incident, care a avut loc în Indore, India, ceea ce sugerează că firma avea cunoștință prealabilă despre încălcare cu mult înainte de depunerea cererii de reglementare din 14 mai.

Trei foști angajați TaskUs și o altă sursă au declarat că peste 200 de angajați au fost concediați în urma unei concedieri masive care a urmat, deși doar doi au fost implicați în încălcarea securității datelor.

Detaliile, făcute publice pentru prima dată de Reuters, sugerează că Coinbase ar fi putut ști despre breșă cu mult înainte de dezvăluirea sa către autoritățile de reglementare din 14 mai.

În documentul depus la SEC, Coinbase a confirmat că terți au accesat date sensibile „fără a fi nevoie de afaceri” în lunile anterioare, dar a susținut că și-a dat seama de amploarea breșei de securitate abia după o tentativă de extorcare de 20 de milioane de dolari din partea hackerilor, pe 11 mai.

Compania a declarat că a descoperit apoi că accesul neautorizat făcea parte dintr-o campanie mai amplă.

Coinbase a confirmat pentru Reuters că a încheiat ulterior toate legăturile cu personalul TaskUs implicat și cu alți agenți de peste hotare și că a înăsprit controalele de securitate interne.

Într-o declarație emisă la începutul acestui an, TaskUs a recunoscut concedierea a doi angajați și a afirmat că încălcarea securității datelor a făcut parte dintr-o campanie criminală mai amplă și coordonată care viza unul dintre clienții săi, deși nu a numit clientul la momentul respectiv.

O sursă a confirmat că respectivul client era într-adevăr Coinbase.

Deocamdată, nu este clar dacă au fost efectuate arestări.

Pentru TaskUs, aceasta nu este prima dată când se confruntă cu o anchetă amănunțită privind o încălcare a datelor legate de criptomonede.

În 2022, compania a fost numită în mai multe procese alături de Shopify, din cauza unei încălcări de securitate din 2020 care a implicat Ledger SAS, un furnizor de portofele hardware.

Coinbase sub control juridic

Coinbase a dezvăluit pentru prima dată încălcarea în documentul său de reglementare din luna mai, unde a afirmat că un subset de utilizatori au avut acces la datele lor prin intermediul unor contractori terți compromiși.

Deși compania a declarat că nu au fost furate parole sau fonduri, a confirmat că au fost expuse date personale precum nume, adrese de e-mail și, în unele cazuri, numere parțiale de asigurări sociale și documente de identitate.

Incidentul a declanșat o anchetă penală din partea Departamentului de Justiție al SUA, divizia penală a agenției colaborând, se pare, cu agențiile internaționale de aplicare a legii pentru a evalua dacă controalele interne ale Coinbase au fost suficiente pentru a preveni un astfel de acces.

Separat, Coinbase se confruntă cu mai multe procese în SUA, inclusiv un caz federal intentat în Manhattan care susține neglijență atât din partea Coinbase, cât și a TaskUs.

Reclamanții susțin că firmele nu au implementat măsuri de siguranță adecvate, permițând contractorilor necinstiți să scurgă date sensibile KYC.

Procesele solicită despăgubiri pentru utilizatorii afectați, iar unii susțin că Coinbase a întârziat dezvăluirea publică, în ciuda faptului că avea cunoștință anterioară despre încălcare.

Noile dezvăluiri ale Reuters conform cărora Coinbase a fost notificată despre incident încă din ianuarie ar putea complica apărarea sa juridică.

Reclamanții pot invoca această cronologie pentru a argumenta că firma a ascuns informații semnificative de la autoritățile de reglementare și de la clienți.

De asemenea, ar putea întări afirmațiile conform cărora supravegherea de către Coinbase a partenerilor săi de externalizare a fost insuficientă, sporind presiunea asupra SEC și a altor autorități de reglementare pentru a lua măsuri de aplicare a legii.