De momento, se desconoce quiénes están detrás del hackeo a Coinbase, pero la firma sí ha detallado su operativa y está intentando encontrar a los culpables, en colaboración con las autoridades. Los atacantes no han accedido a los sistemas de la compañía, sino que han obtenido datos personales y de las cuentas de los clientes. Lo han hecho a través de los agentes de atención al público, sobornándoles y ofreciéndoles dinero a cambio de información sobre los usuarios. Una vez obtenidas algunas credenciales, los delincuentes se ponen en contacto con la víctima, haciéndose pasar por trabajadores oficiales de Coinbase y consiguiendo que les transfirieran sus fondos o parte de los mismos.

Es un tipo de ciberataque frecuente. Se consigue información confidencial y, con ella, los hackers suplantan la identidad de Coinbase. Al tener datos oficiales de las cuentas del cliente, es fácil proceder al engaño. Los ciberdelincuentes han conseguido abundante información: nombres, direcciones, números de teléfono, contraseñas, correos electrónicos, algunos dígitos de los números de la Seguridad Social, datos identificativos de cuentas bancarias, documentos de identidad, información sobre los balances de las cuentas (saldos, dinero, transacciones, etc.) y datos corporativos.

Los hackers han obtenido los datos de menos del 1% de los usuarios activos mensuales, según Coinbase. Es decir, el alcance ha sido limitado. El exchange tiene 9,7 millones de usuarios que operan cada mes, con lo que el ataque ha afectado a menos de 97.000 usuarios. La compañía va a devolver el dinero robado a los afectados, lo que estiman que costará un máximo de 400 millones de dólares, aunque esa cifra es únicamente una primera estimación.

El golpe a Coinbase no ha sido uno de los grandes ataques de los ciberdelincuentes en la industria de los activos digitales. El más sonado se produjo en febrero y, de hecho, fue el mayor hackeo en el mundo cripto. Los hackers consiguieron extraer cerca de 1.500 millones de dólares en ethereum de una cartera de la compañía, Bibyt, el segundo exchange por volumen de operaciones a nivel global. Los responsables fueron Lazarous Group, los ciberatacantes más recurrentes en cripto, vinculados y financiados por el régimen de Corea del Norte. De hecho, solo con ese robo, recaudaron más que en todo 2024 en su conjunto.

En comparación, el robo a Coinbase ha sido menos lesivo. La firma está buscando a los culpables y ofrece 20 millones de dólares de recompensa a quienes puedan ofrecer información para localizarlos. "Los delincuentes nos han pedido 20 millones de dólares y, en lugar de aceptar su chantaje, usaremos esa misma cifra para un fondo de recompensa para quienes proporcionen información útil para poder arrestar y condenar a los criminales", explica la empresa en un comunicado.

Este ataque es uno más de los que se han dirigido a la industria cripto, en el que se suceden los casos de hackeo. La semana pasada, el grupo de ciberdelincuentes LockBit probó de su propia medicina y fueron objeto de un robo de datos. Esta firma ofrece programas malignos a sus clientes para que puedan ciberatacar a sus víctimas.

El caso de Coinbase es llamativo por el peso de su marca en el ecosistema. Es una de las compañías cripto más reconocidas y la tercera plataforma de intercambio por volumen de operaciones. Además, la empresa es conocida por haber intentado despejar el camino regulatorio para toda la industria en EEUU y haber liderado la defensa de las criptomonedas frente a la Administración. Se trata de una compañía afianzada y, de hecho, cotiza en Wall Street. Esta misma semana, la firma se ha estrenado en el índice S&P 500, referencia en el mercado americano.

Coinbase sufre una filtración de datos tras el soborno a trabajadores de soporte subcontratados

Coinbase, la plataforma de intercambio de criptomonedas con más de 100 millones de usuarios, ha revelado que un grupo de atacantes sobornó a empleados de soporte externos y obtuvo información personal de aproximadamente el 1 % de sus clientes. Los delincuentes intentaron extorsionar a la compañía exigiendo 20 millones de dólares a cambio de no publicar los datos, y el incidente podría costar a la empresa entre 180 y 400 millones en compensaciones y medidas de contención.

El vector de ataque no fue un exploit sofisticado, sino el clásico, y a menudo subestimado, riesgo interno. Los criminales localizaron a varios agentes de atención al cliente subcontratados en el extranjero (según las primeras pesquisas, en India) y les ofrecieron dinero a cambio de sus credenciales o de que realizasen consultas directas sobre la base de datos de Coinbase. Con ese acceso, los insiders copiaron registros alojados en las herramientas internas de soporte.

Los datos robados incluyen nombre, dirección, teléfono, correo electrónico, los últimos cuatro dígitos del SSN, números de cuenta bancarios parcialmente enmascarados, imágenes de documentos de identidad y un historial resumido de transacciones. No se vieron comprometidas las claves privadas, las contraseñas ni los monederos de los clientes, pero la información filtrada es suficiente para lanzar campañas de suplantación (phishing / vishing) extremadamente creíbles.

Tras detectar accesos anómalos, Coinbase despidió a los implicados, notificó a la SEC y rechazó pagar el rescate. La empresa prevé destinar hasta 400 millones de dólares para reembolsar a usuarios que puedan caer en futuras estafas y para reforzar la detección de amenazas internas. Entre las medidas anunciadas figuran la apertura de un nuevo centro de soporte en EE. UU., la implantación obligatoria de 2FA y la función de “withdrawal allow-list” para cuentas con mayor riesgo.

Fuentes:

https://www.eleconomista.es/cripto/noticias/13367606/05/25/hackeo-a-coinbase-los-atacantes-se-cuelan-en-las-tripas-de-la-compania-sobornando-a-agentes-de-atencion-al-cliente.html

https://unaaldia.hispasec.com/2025/05/coinbase-sufre-una-filtracion-de-datos-tras-el-soborno-a-trabajadores-de-soporte-subcontratados.html