Datalek bij Amplitude raakt contactgegevens van Coinbase-klanten, beurs zegt dat tegoeden veilig zijn

Coinbase is volgens eigen zeggen niet gehackt, maar een deel van zijn klanten heeft wel een probleem. Bij Amplitude, een extern analysebedrijf waar de beurs mee werkt, is een beveiligingsincident geweest. Daarbij zijn contactgegevens van een deel van de Coinbase-gebruikers op straat beland. De beurs zegt dat er niemand onbevoegd in de eigen systemen is geweest en dat de tegoeden van klanten veilig zijn. Dat klopt waarschijnlijk. Toch is dat voor wie een mail van Coinbase krijgt maar een deel van het verhaal.

Wat Coinbase precies zegt

De beurs reageerde via het supportaccount op X, nadat berichten over een hack snel rondgingen. In vertaling schreef Coinbase Support: "Coinbase heeft geen datalek gehad. Amplitude, een analyseleverancier, had een beveiligingsincident dat een kleine subset van de contactgegevens van Coinbase-klanten trof, naast andere klanten van Amplitude." Ook liet Coinbase weten dat het geen aanwijzingen heeft gevonden voor onbevoegde toegang tot de eigen systemen. Getroffen klanten worden per e-mail op de hoogte gebracht, zoals de wet voorschrijft. Toezichthouders worden ook ingelicht.

Belangrijke details ontbreken nog. Coinbase heeft niet gezegd hoeveel klanten zijn getroffen en ook niet welke gegevens precies zijn gelekt. Volgens CoinDesk gaat het om contactgegevens zoals e-mailadressen en telefoonnummers. Wachtwoorden, private keys en geld vallen er niet onder. Op X ging een claim rond dat het om meer dan 70.000 gebruikers zou gaan. Crypto Briefing schrijft dat getal toe aan het securitybedrijf SlowMist. Coinbase heeft het aantal niet bevestigd, dus wij houden het voorlopig op een onbevestigde schatting.

Waarom “geen hack” weinig geruststelt

Voor wie nieuw is in crypto: Amplitude is software die bedrijven gebruiken om te zien hoe mensen hun app gebruiken. Daarvoor stromen er gebruikersgegevens naar die partij. Elke externe leverancier met toegang tot klantdata is daarmee een extra plek waar het mis kan gaan. In het jargon heet dat een supply-chainrisico: je eigen beveiliging kan in orde zijn, terwijl een leverancier lekt.

Juridisch maakt het uit of het lek bij Coinbase zelf zat of bij een leverancier. Voor de klant bijna niet. Een e-mailadres of telefoonnummer waarvan bekend is dat het bij een Coinbase-account hoort, is precies waar oplichters naar zoeken. Daarmee sturen ze geloofwaardige phishingmails of bellen ze als nep-helpdesk met een verhaal over een "verdachte transactie". Dat soort social engineering kost cryptobezitters jaarlijks flink wat geld. Juist na een nieuwsbericht als dit gaan oplichters vaak extra hard aan de slag.

Ervaren gebruikers weten het eigenlijk al, maar het is goed om te herhalen. Coinbase vraagt je nooit om je seedphrase of om geld naar een "veilige wallet" over te maken. Belt iemand namens de beurs, hang dan op en log zelf in via de app. Zet tweestapsverificatie aan met een authenticator-app of hardware key in plaats van sms. Zo heeft een gelekt telefoonnummer minder waarde.

Zuid-Korea heeft tegelijk een golf van lekken

Het incident valt samen met een reeks datalekken bij financiële bedrijven in Zuid-Korea. Daishin Securities meldde dat de persoonsgegevens van 38.490 klanten zijn buitgemaakt, waaronder namen, e-mailadressen en mobiele nummers. Volgens het persbureau Yonhap zijn ook gegevens van klanten van de Koreaanse cryptobeurs Bithumb uitgelekt bij een aanval van buitenaf. Daarnaast doen toezichthouders onderzoek naar een lek bij Mirae Asset Global Investments.

Voor Coinbase is dit gevoelig, want het is niet de eerste keer dat klantgegevens van de beurs naar buiten komen. Daarom wil het bedrijf zo graag benadrukken dat de eigen systemen niet zijn geraakt. Tegelijk ligt er nu een vraag waar Coinbase nog geen antwoord op heeft gegeven: welke leveranciers krijgen eigenlijk klantdata, en waarom zitten daar contactgegevens bij? Zolang het aantal getroffen klanten en de precieze gegevens onbekend blijven, is het verstandig om elke onverwachte Coinbase-mail of telefoontje met argwaan te behandelen.