インド当局は、ハイデラバードでコインベースの元カスタマーサポート担当者の逮捕を確認し、2024年12月に始まったデータ侵害の捜査において最初の大きな突破口となった。Coinbaseと現地の捜査当局によると、この従業員は、海外のサポートスタッフを買収して内部システムに不正アクセスし、機密性の高いユーザー情報を吸い上げる、より広範な犯罪ネットワークの一員だったとのことです。

情報漏洩は最終的に、氏名、電話番号、住所、政府発行の身分証明書など、69,461人のCoinbaseユーザーに関連する個人データを暴露しました。顧客の口座から暗号通貨の資金が直接盗まれたわけではありませんが、攻撃者は盗んだデータを梃子にしてCoinbaseから金を脅し取り、沈黙と引き換えに2000万ドルの身代金を要求しました。

同社は犯罪者の要求に屈して引き下がるのではなく、ハッキングの背後にいる犯罪者に魔女狩りを開始し、事件に関するあらゆる情報と引き換えに2000万ドルの懸賞金を提供した。

"We have zero tolerance for malicious behaviour and will continue to cooperate law enforcement to bring the perpetrators to justice."

その後の調査で、衝撃的な事実が明らかになりました。この情報漏洩は、ソフトウェアの悪用やブロックチェーンの脆弱性の結果ではなく、オフショアのカスタマーサポート業務をターゲットにした組織的な贈収賄スキームによるものでした。容疑者の何人かは、TaskUsと呼ばれるアウトソーシング・プラットフォームを通じて犯罪ネットワークにリクルートされ、そこでハッカーの入口として採用されたのです

犠牲的な影響と高まる法的圧力

情報漏洩の金銭的な影響は大きいものでした。コインベースは、フォレンジック調査、プラットフォームのセキュリティアップグレード、顧客への払い戻し、より広範な修復作業などをカバーする侵害関連費用として、すでに3億700万ドルから4億ドルを負担していることを明らかにしました。

改善費用だけでなく、この事件は法的な精査も引き起こしました。コインベースは現在、同社が情報漏えいを適時に開示しなかったと主張する株主集団訴訟に直面している。原告側は、開示の遅れによって投資家が不必要なリスクにさらされたと主張しており、取引所が信頼回復に取り組む中で、新たな圧力が加わっている。

インドでの逮捕は、暗号関連の犯罪をめぐる執行活動が世界的に活発化する中で行われた。その数日前、米国の検察当局は、ブルックリン在住のロナルド・スペクター氏を、別のフィッシングやソーシャルエンジニアリングのスキームを通じて、約100人のCoinbaseユーザーから約1600万ドルを盗んだ罪で起訴しました。インドの事件とは無関係ですが、この事件は、システム障害というよりむしろ、人間の操作が暗号で最も有害な攻撃のいくつかを推進し続けていることについての懸念を強めました。

Coinbase の株価は逮捕のニュースを受けて小幅に下落しましたが、これは同社が世界中の規制当局や法執行機関との協力を強調する一方で、現在進行中のセキュリティや法的課題に対する投資家の感度を反映しています。

A reminder that people remain the weakest link

Coinbase breach highlights a hard truth for the crypto industry: 最も資本力があり、規制され、技術的に洗練されたプラットフォームでさえ、内部の脅威に対して脆弱なままです。

今回の場合、被害はCoinbaseのコードベースの欠陥によるものではなく、信頼できる個人がアクセス権を悪用したことによるものでした。この事件は、取引所が内部アクセスをどのように吟味し、監視し、区分するか、特に監視がより困難なオフショアサポート業務において、より広範な疑問を投げかけています。

より広範な観点から見ると、今回の違反は、暗号の次のセキュリティフロンティアは、スマートコントラクトよりも、ガバナンス、内部統制、人間の説明責任にあるかもしれないということを思い起こさせるものです。デジタル資産プラットフォームが成熟するにつれて、インサイダーリスクを管理する能力がユーザーの信頼をますます決定づけることになるだろう。テクノロジーはシステムを保護することができるが、文化、インセンティブ、監督こそが、最終的にシステムを運用する人々を守るものなのだ。