Судебные документы раскрыли новые детали крупнейшей в истории Coinbase утечки данных, связанной с подрядчиком в Индии. Ашита Мишра, сотрудница индийского офиса компании TaskUs, обслуживавшей платформы, начиная с сентября 2024 года похищала конфиденциальные данные клиентов. В том числе номера социального страхования и банковские реквизиты.
Она передавала украденные фотографии аккаунтов хакерам, продавая из по $200 за штуку. Впоследствии преступники использовали эти данные, выдавая себя за сотрудников Coinbase, чтобы обманом выманивать криптовалюту у клиентов. Всего утечка затронула более 69 тыс. пользователей, а сама Coinbase оценила потенциальный ущерб до $400 млн.
Иск, поданный юридической фирмой Greenbaum Olbrantz, описывает софистицированную сеть внутри TaskUs, которая передавала клиентские данные преступникам. С сентября по январь Мишра вместе с соучастниками якобы привлекала других сотрудников TaskUs к схеме, а руководители и менеджеры подразделений могли быть в курсе происходящего. Когда была выявлена подозрительная активность, на телефоне Мишры оказались данные более 10 тыс. клиентов Coinbase. В некоторые дни она делала до 200 фотографий аккаунтов.
Данные суда подтверждают, что масштабная утечка началась раньше, чем Coinbase сообщала об этом публично. Компания ранее утверждала, что инцидент произошел в декабре 2024 года, но документы указывают на начало проблем еще в сентябре.
В Coinbase заявили, что сразу после поступления первой информации о кражах уведомили пострадавших пользователей и регуляторов, компенсировали потери клиентам, усилили контроль за подрядчиками и прекратила отношения с TaskUs. Биржа отказалась платить злоумышленникам и предложила вознаграждение $20 млн за информацию о преступниках. TaskUs пока не ответила на запросы о комментариях, а Мишра недоступна для связи.
В документах утверждается, что TaskUs уволила 226 сотрудников индийского офиса в январе 2025 года, пытаясь устранить последствия преступной схемы. В феврале компания также избавилась от HR-команды, расследовавшей проблему утечки данных.