Coinbase взломали: 70 000 клиентов под ударом, $20 млн выкупа и $400 млн убытков
💥 Coinbase, ты серьёзно?
70 000 пользователей, $400M убытков и один очень глупый взлом.
Мы в Web3 всё ещё верим в безопасность? Тогда зачем 69 тысячам людей сегодня страшно заходить в почту?
Coinbase — крупнейшая криптобиржа США, публичная компания, флагман индустрии. И вот — 70 000 человек пострадали от утечки персональных данных. Не из-за бага. Не из-за смарт-контракта. А потому что служба поддержки подставила всех.
Хакеры просто купили доступ к чужим рукам. Всё: имена, адреса, телефоны, последние цифры SSN, банковские данные, сканы паспортов.
🔍 Что произошло?
- Утечка началась 26 декабря 2024 и продолжалась до 11 мая 2025.
- Компрометация произошла через внешнюю подрядную службу поддержки.
- Утекли KYC-данные: имена, адреса, сканы документов, банковские хвосты.
- Хакеры вымогали $20M в BTC, угрожая слить всё в сеть.
- Coinbase отказалась платить и пообещала такую же сумму тому, кто сдаст хакеров.
🤯 Почему это важно
Потому что в Web3 безопасность — это не просто фича. Это базовая необходимость. И если один из лидеров индустрии оказывается настолько уязвим, то ни один проект не может чувствовать себя в безопасности.
Безопасность системы определяется прочностью самого слабого звена. В Web3 — это люди.
💭 Что я думаю (как фаундер Web3-агентства)
1. Web3 не гарантирует безопасность
Можно сколько угодно встраивать zk-протоколы и multisig, но если KYC-отдел в Маниле, и его никто не контролирует — жди беды.
2. Мы недооцениваем риски аутсорса
Пока стартапы экономят на in-house, они открывают лазейки, которыми легко воспользоваться. Хакеры действуют не в терминале, а через Telegram.
3. Coinbase могла предотвратить это
Bug bounty за голову хакера — круто. Но где были эти $20M до того, как всё утекло? Почему сотрудники без чека могут видеть пользовательские данные?
📌 Что делать вам, если вы Web3-проект
- Не храните то, что можно не хранить. KYC — в партнёрстве, без доступа к хранилищам.
- Проверяйте подрядчиков. Особенно, если они имеют доступ к клиентским данным.
- Учите команду. Не только девов, но и маркетинг, саппорт, менеджмент. Фишинг — это тоже взлом.
🚨 Это не про Coinbase
Это про то, что любой из нас может оказаться следующим. Если ты проект, собирающий аудиторию, токены, бабки — тебя тоже будут ломать. И это будет не смарт-контракт, а джун из саппорта с ноутбуком за 300 баксов.
🎯 Вывод
Безопасность — это не кнопка и не подписка на KYC-провайдера. Это культура. Это процессы. Это личная ответственность каждого фаундера.
Потому что в Web3 пока главный баг — это человек.
🧠 Хочешь избежать такого у себя в проекте? Раз в месяц я разбираю кейсы из Web3-маркетинга, безопасности и роста. Подписывайся, если хочешь знать мое мнение и новости первым. Без буллшита.