Ušli u S&P 500, napali ih hakeri - otkriveno i kako

Na dugom popisu kriptotvrtki koje su bile mete hakerskih napada nalazimo mnoge primjere financijskih gubitaka koji su bili znatno ozbiljniji od onoga s čime se, čini se, trenutno suočava Coinbase. No ovaj slučaj izdvaja se zbog važnosti koja nadilazi 400 milijuna dolara, koliko bi tvrtka mogla izgubiti: riječ je o tvrtki koja se smatra najutjecajnijim igračem američke kriptoindustrije.

Coinbase je bio prvo kriptopoduzeće koje se pojavilo na burzi i vodilo digitalnu industriju prema integraciji u tradicionalni financijski sustav. Tvrtka čuva većinu od 122 milijarde dolara vrijednih tokena kojima upravljaju promptni ETF-ovi bitcoina. Coinbase je također imao ključnu ulogu u ovogodišnjem lobističkom pohodu industrije, financirajući nastojanja za izbor skupine kriptozakonodavaca u Washingtonu.

Otkrivanje hakerskog napada dogodilo se samo tri dana nakon što je Coinbase postigao jedan od svojih najvećih uspjeha u području digitalne imovine ulaskom u indeks S&P 500. Taj korak znači da će dionice tvrtke biti uključene u mirovinske fondove i druge investicijske proizvode vrijedne bilijune dolara, koji prate taj referentni indeks. Proboj s viješću o još uvijek otvorenoj istrazi američke Komisije za vrijednosne papire i burzu (SEC) u vezi s izvješćivanjem o broju korisnika u četvrtak je prouzročio pad dionica tvrtke za više od sedam posto.

Podmićeni zaposlenici Coinbasea

Iako tvrtka tvrdi da usluga Coinbase Prime, koja čuva kriptoimovinu za izdavatelje ETF-ova i institucionalne investitore, nije bila pogođena, hakeri su gotovo neprekidno imali pristup nekim od najvrijednijih podataka Coinbaseovih korisnika još od siječnja, rekao je za Bloomberg izvor upoznat s incidentom, koji je želio ostati anoniman.

Shema hakera bila je hrabro osmišljena, iako tehnički ne osobito sofisticirana: podmitili su agente korisničke podrške kako bi dobili podatke korisnika, a zatim tražili 20 milijuna dolara otkupnine za njihovo brisanje. Tvrtka je primijetila neobično ponašanje nekih zaposlenika još u siječnju, potvrdili su u razgovoru za Bloomberg News.

Zaposlenici koji su prihvatili mito imali su pristup imenima, datumima rođenja, adresama, državljanstvima, brojevima osobnih iskaznica, određenim bankovnim informacijama te podacima o kreiranju korisničkih računa i njihovim stanjima, objasnio je izvor. Ti podaci omogućili bi napadačima da se lažno predstave kao Coinbase i pokušaju nagovoriti korisnike da im omoguće pristup računima. Također bi mogli biti iskorišteni za krađu identiteta kod drugih pružatelja usluga, gdje bi se hakeri lažno predstavljali kao oštećeni korisnici.

Za neke trgovce s većim sredstvima na burzi incident je bio posebno zabrinjavajući, ne samo zbog mogućih financijskih gubitaka, već i zbog fizičkih prijetnji. Podsjetimo, ove godine ubijen je i osakaćen suosnivač stanovitog kriptostartupa, a pojavile su se i druge slične priče.

Više slučajeva podmićivanja

"Riječ je o ozbiljnom sigurnosnom incidentu, količina izloženih osobnih podataka zapanjujuća je", rekao je Mike Dudas, partner u Web3 tvrtki 6MV, koji je i sam bio meta napadača. "Ljudi će morati početi razmišljati i o svojoj fizičkoj sigurnosti, posebno s obzirom na događaje u Francuskoj i drugdje."

Prema izvoru upoznatom s incidentom, hakeri su podmitili dovoljan broj agenata korisničke podrške da su posljednjih pet mjeseci imali gotovo trenutačan pristup podacima korisnika Coinbasea. Voditelj sigurnosti Coinbasea Philip Martin odbacio je te tvrdnje i naglasio u razgovoru za Bloomberg da je tvrtka odmah blokirala pristup agentima kad su otkrili da neovlašteno dijele informacije. Zbog toga, rekao je Martin, napadači "nisu imali neprekidan pristup tijekom cijelog razdoblja". Dodao je kako su napadači ciljali zaposlenike i vanjske ugovaratelje Coinbasea u Indiji, povezane s vanjskim pružateljima usluga i podrškom, te ih podmićivali radi pristupa korisničkim podacima. Coinbase je identificirao te zaposlenike, blokirao im pristup i odmah ih otpustio nakon što su otkrili sumnjive aktivnosti.

"Bilo je više pojedinačnih slučajeva podmićivanja, za koje sada taj napadač preuzima zasluge, no oni nisu imali stalni pristup u tom razdoblju", rekao je Martin. Izvor je naveo da su hakeri još u srijedu imali pristup podacima. Martin je odgovorio: "Nemamo razloga vjerovati da je to istina", ali je priznao da "ne možeš dokazati negativno".

Bloomberg

Poruke s nepoznatih brojeva za pristup tokenima

Bloomberg News posjeduje podatke da je među pogođenima bio i stanoviti vrlo imućan pojedinac, čiji identitet zbog privatnosti nije otkriven. David Jeong, osnivač kriptotvrtke iz New Yorka, rekao je da je 3. travnja primio poruku s nepoznatog broja u kojoj su ga pozivali da potvrdi prijavu na svoj osobni račun. Sličnu poruku primio je i 4. svibnja, s drugog broja. Jeong je dodao da već dvije godine ne koristi Coinbaseove jednokratne lozinke.

U regulatornom izvješću Coinbase je naveo da je 11. svibnja primio anonimni e-mail sa zahtjevom za otkupninu. Dodali su da su već mjesecima prije toga primijetili slučajeve gdje su agenti korisničke podrške izvan SAD-a prikupljali podatke iz internih sustava. Prošlog vikenda neki premijski korisnici primili su obavijest da je njihovim podacima možda pristupljeno.

"U Coinbaseu stalno nadziremo naše sustave kako bismo osigurali da su podaci korisnika dostupni samo kada je to nužno i uvijek u skladu s našim strogim sigurnosnim standardima. Želimo vas obavijestiti da smo zabilježili aktivnosti koje upućuju na to da su podaci povezani s vašim računom možda bili dostupni na način koji nije u skladu s našim internim pravilima", stoji u e-mailu korisnicima koji je dobio Bloomberg. "Vaše lozinke, seed fraze i druge informacije koje bi omogućile izravan pristup vašem računu ili sredstvima nisu bile otkrivene."

U istom priopćenju Coinbase je korisnicima preporučio da "redovito nadziru svoje račune i koriste snažnu i jedinstvenu lozinku". Pogođeno je manje od jedan posto mjesečno aktivnih korisnika burze, rekli su u četvrtak iz tvrtke. Osim pojačanih sigurnosnih mjera za pogođene korisnike, Coinbase je obećao da će svakome tko je pretrpio financijsku štetu ta šteta biti u cijelosti nadoknađena. Umjesto plaćanja otkupnine, Coinbase nudi 20 milijuna dolara nagrade za informacije koje bi dovele do uhićenja i osuđivanja počinitelja.

Brojni napadi na kriptoburze

Kriptoindustrija već dugo pati od proboja, ponajviše zbog visoke razine anonimnosti korisnika i složene softverske infrastrukture. Prema podacima analitičke tvrtke Chainalysis, tijekom 2024. tako je ukradeno oko 2,2 milijarde dolara. Posebno su ranjive kriptoburze, koje su zbog svoje uloge često glavne mete i zato snose visoke troškove održavanja sigurnosnih sustava.

Riječ je o takozvanom napadu socijalnim inženjeringom, gdje napadači ne pribavljaju podatke tehničkim provalama, već manipulacijom ljudi. Taj pristup postaje sve češći u kriptosektoru i korišten je i u veljači pri proboju burze Bybit, gdje je nestalo 1,5 milijardi dolara. Prema procjenama tvrtke Elliptic, incident u Coinbaseu, čiji ukupni troškovi, uključujući odštete korisnicima, iznose oko 400 milijuna dolara, osmi je najveći kriptoproboj u povijesti.

"Nažalost, u vremenu kada naša mlada industrija brzo raste, sve više privlači pažnju zlonamjernih aktera koji postaju sve sofisticiraniji u svojim napadima te koriste nove alate i tehnike umjetne inteligencije za zaobilaženje sustava za sprječavanje prijevara", rekao je Nick Jones, osnivač i glavni izvršni direktor kriptotehnološke platforme Zumo. "To je svakako velik udarac za tvrtku koja je posljednjih tjedana imala ključno razdoblje."

U međuvremenu je New York Times izvijestio da američka Komisija za vrijednosne papire i burzu (SEC) istražuje je li Coinbase u prošlosti netočno navodio broj svojih korisnika, u okviru istrage koja je započela još za vrijeme Bidenove administracije.

"Riječ je o istrazi iz prethodne administracije, povezanoj s metrikom koju ne izvještavamo već dvije i pol godine, što je javno poznato", rekao je Paul Grewal, glavni pravni savjetnik Coinbasea. "Iako vjerujemo da ta istraga više nema smisla, ostajemo predani suradnji sa SEC-om kako bismo što prije zatvorili tu stvar."