Coinbase xifra entre 180 i 400 milions de dòlars l'impacte potencial d'una bretxa

Què va passar

Al maig de 2025 Coinbase va informar que atacants van obtenir dades d'una part dels seus clients després de subornar determinats empleats i contractistes amb accés a sistemes de suport. La companyia va rebutjar pagar el rescat exigit i va estimar un impacte potencial d'entre 180 i 400 milions de dòlars.

L'accés no es va aconseguir mitjançant una vulnerabilitat tècnica, sinó comprant la col·laboració de persones amb accés legítim a les dades, cosa que apunta a un risc d'origen intern i de tercers amb permisos sobre informació sensible.

Què significa per a una empresa mitjana

El cas recorda que el risc intern i el de tercers amb accés (contractistes, proveïdors de suport) pot ser tan rellevant com el d'un atacant extern, especialment en empreses que gestionen dades de clients d'alt valor.

Per detectar-ho a temps cal poder distingir un accés legítim d'una consulta anòmala: algú amb permisos correctes, però que consulta dades que no encaixen amb la seva feina habitual.

Què convé revisar

Controls que limiten el dany d'un accés intern compromès:

• Permisos granulars: cada persona només accedeix a les dades que necessita per a la seva funció.
• Registre i traçabilitat d'accessos a dades sensibles, amb alertes davant patrons inusuals.
• Revisió periòdica dels permisos de contractistes i proveïdors de suport extern.
• Procediment definit de resposta davant intents d'extorsió, sense decisions improvisades.

Preguntes freqüents

Com van obtenir els atacants les dades?

Segons Coinbase, subornant empleats i contractistes amb accés a sistemes de suport, no explotant una vulnerabilitat tècnica.

Va pagar Coinbase el rescat?

No. La companyia va rebutjar la demanda de pagament i va estimar l'impacte potencial de l'incident entre 180 i 400 milions de dòlars.

Què diferencia aquest cas d'un ciberatac típic?

El vector d'entrada va ser humà i intern: persones amb accés legítim que van ser corrompudes, no una fallada de programari.